群晖 Homes 目录权限明明设好了，用户还是能翻到没授权的文件夹，越权口子从哪堵？

有管理员遇到这么个事：给员工开了账号，个人目录各归各，结果普通员工登录 File Station 一看，别人的个人文件夹也能点进去逛。权限明明「设好了」，越权的口子在哪？先说结论：十有八九不是系统漏洞，而是 homes 这个特殊目录的权限被人为放大过，或者用户被塞进了不该进的组。

先弄懂 homes 是个什么角色

群晖里有个内置共享文件夹叫 homes，它是所有用户个人目录的统一入口，每个人登录后看到的那间「自己的房间」，其实是 homes 下面以用户名命名的一个子目录。它的正确权限姿势很反直觉：homes 顶层对普通用户组应该是「禁止访问」，而每个人对自己名下那个子目录自动拥有完全权限。这个加减法由系统自动做，不需要、也不应该手动给 users 组在 homes 顶层开读写。凡是有人觉得「给组开个方便」，在顶层放开了权限，整层楼就都对走道敞开了。

按这三处挨个查

第一处，控制面板、共享文件夹、homes，编辑权限：users 组和 everyone 应该是禁止访问，谁在顶层被单独授了权，收掉。第二处，控制面板、用户与用户组，检查这个「能乱逛」的用户是不是被拉进了 administrators 组，或者被加进了什么自带宽权限的自定义组——组里给的权限会叠加，人一多就没人记得当初为什么加的。第三处，检查文件服务的协议面：SMB、FTP、WebDAV 各协议下 homes 的暴露行为要一致，有的口子只在某个协议下露出来。查完用出问题的那个普通账号实际登录验证：自己的目录能进能写，别人的目录看不见也进不去，才算堵牢。还有个小提醒：开了文件同步的电脑，客户端缓存里留着旧目录视图，看着像还能进，让用户退出重登一次再下结论，别把缓存残留误判成越权。

别忘了外发的门

目录权限这堵墙砌好了，还有门要看：File Station 的分享链接、文件同步套件生成的外部链接，都是绕过目录权限的旁门。定期到管理后台清一遍在有效期内的分享链接，离职员工留下的历史链接一并作废。墙是防翻越的，门是防大方的，门没管好，墙砌得再高也白搭。

顺手把周边也收一遍

个人目录之外，公司里更该定期做「权限巡检」：谁离职能别只禁账号，名下个人目录里的资料要有交接流程；用过的临时账号、外包账号，权限要跟着收回。权限这东西只加不减，日积月累就成了筛子。

贵州诚鑫致达科技给企业做 NAS 部署和权限梳理时，个人目录、共享目录、临时账号三本账一起盘，权限跟着人走，不跟着「当初图方便」走。

企业存储选型参考｜贵州诚鑫致达

老机型数据迁移与扩容（DS218+/DS420+/DS3622xs+ 等），群晖机型参考：可衔接 SA3410 · UC3400 · RS2423RP+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。西南地区多分支企业：跨区域数据集中存储与统一备份。