**1. 干什么** NTFS 以 MFT（Master File Table，即主文件表，为每个文件登记文件名、大小、安全描述符与数据位置的记录数组）组织磁盘。文件访问经内核定位 MFT 记录后读取数据，每个文件携带 DACL 执行 SID 比对。 **2. 谁在调** * 用户态主体：文件读写程序、资源管理器、命令行工具。 * 系统层封装：CreateFileW、ReadFile、icacls 等 advapi32/kernel32 接口。 * 内核态主体：NTFS 驱动、MFT 记录、安全描述符与 DACL 比对。 **3. 做什么业务** 内核接到打开请求后先查 MFT 取得记录，再按记录定位数据块。访问前取出调用进程令牌，与文件安全描述符中的 DACL 逐条 ACE 比对，决定允许或拒绝。除主数据流外，文件可挂载命名备用数据流 ADS（Alternate Data Stream），资源管理器默认不显示，浏览器下载写入的`Zone.Identifier`即来源标记。表面修改时间可被改写，但 MFT 记录中的创建时间、条目建立与删除痕迹及磁盘残留构成交叉证据。