一、免费基础防护（Windows SMB 服务器，只能防修改，不能彻底防复制）
1、共享权限 + NTFS 权限双设置（必做）
1）右键共享文件夹 →【属性】→【共享】→【高级共享】→勾选共享此文件夹 →【权限】
删除 Everyone，添加业务用户 / 用户组，只勾选读取，取消更改、完全控制。
2）切换【安全】标签（NTFS 权限，优先级高于共享权限）
选中对应用户组，编辑权限，仅允许：读取和执行、列出文件夹内容、读取
取消：修改、写入、删除、完全控制。
高级安全设置：禁用权限继承，转换为显式权限，防止子文件夹继承高权限。
效果：用户可以打开查看文件；不能修改服务器上的源文件；但是依旧可以复制、拖拽、另存文件到本地电脑。
2、文档本身限制（PDF）
将 Word/Excel 导出为 PDF，Acrobat 设置安全选项：禁止复制文本、禁止打印。 缺点：无法阻止截图、拍照、手动抄录内容，只适合对外分发文件。
二、NAS 设备（群晖、威联通）
群晖 DSM：控制面板→共享文件夹→编辑→【高级权限】→禁用文件下载，该选项可以阻止 SMB、FileStation 下载复制文件（管理员不受限制）Synol...。
注意：普通只读权限依然允许下载复制，必须开启「禁用文件下载」。
威联通 QNAP：开启 Windows ACL 高级权限，配置禁止下载、另存权限QNAP。
三、真正实现：只允许查看，禁止复制、拖拽、另存、拷贝（3 种方案）
方案 A：专用共享文件管理软件（局域网 SMB，中小公司首选）
部署在文件服务器，客户端无需大规模安装，实现细粒度权限：
✅允许打开查看，禁止复制文件、禁止拖拽到本地、禁止另存为本地
✅可单独开关：禁止打印、禁止剪贴板复制内容、禁止删除
✅完整审计日志：记录谁访问、尝试复制文件的行为 代表产品：大势至局域网共享管理系统（dashzihi.com）、共享文件夹加密超级大师。
图：大势至局域网共享文件管理系统
方案 B：终端数据防泄密 DLP / 透明加密系统（大中型企业）
全终端部署客户端，适合整体内网防护：
透明加密：共享文档自动加密，内网授权电脑正常打开；一旦拷贝出去、拷入 U 盘、外传，文件直接乱码无法打开。
权限管控：针对共享目录设置：禁止复制、禁止剪贴板、禁止截屏、禁止打印，支持屏幕水印溯源。
外设管控：禁用 U 盘、移动硬盘，阻断拷贝出口。 代表：安企神、安恒办公智盾、域智盾等。
方案 C：VDI / 远程桌面 RDS（数据零落地，最高安全等级）
用户通过远程桌面访问服务器共享文件，所有操作运行在服务器端，本地电脑不会产生任何文件：
用户只能在远程窗口查看内容，无法复制文件到本地磁盘、无法拖拽文件出来。
缺点：服务器资源消耗高，需要部署虚拟化环境。
四、云共享（SharePoint / 365）
开启阻止下载策略（Block Download），文件仅浏览器在线查看，禁止下载、同步到本地设备，需要高级管理许可授权Microsoft ...。
五、防护能力对比
表格
| 方案 | 阻止复制文件 | 阻止复制文字内容 | 阻止截图拍照 | 成本 |
|---|---|---|---|---|
| Windows 只读权限 | ❌不能 | ❌不能 | ❌不能 | 免费 |
| PDF 加密限制复制 | ✅文件不被复制 | ❌可截图拍照 | ❌不能 | 免费 |
| NAS 高级权限禁用下载 | ✅SMB 不能下载复制 | ❌可截图复制文字 | ❌不能 | 设备自带 |
| 共享文件管理软件 | ✅ | ✅禁止剪贴板复制 | 部分支持防截屏 | 中等 |
| DLP 透明加密系统 | ✅ | ✅ | ✅水印 + 防截屏 | 较高 |
| VDI 虚拟桌面 | ✅ | ✅ | 依赖系统水印 | 高 |
六、落地建议
如果只是防止员工修改服务器源文件：只用 Windows 双权限即可。
如果要求文件完全不能拷贝出共享目录：不要单纯依赖 Windows 只读，优先使用 NAS 高级权限或者共享管理软件。
最高安全要求：DLP 加密 + VDI 虚拟桌面 + 屏幕溯源水印，同时配合制度审计。
在线客服
