C# .NET - 如何确定目录是否可写（带或不带 UAC）？

Question

我正在开发一款软件，需要将文件复制到文件系统上的给定目录。它需要在支持 UAC 的操作系统（Vista、7）和 XP 上运行。为了解决写入需要 UAC 提升的目录的问题，应用程序实际上启动了另一个进程，其中包含一个声明需要 UAC 的清单。这会生成提示，然后在用户确认时进行复制。

据我所知，一个目录可以具有三种不同的逻辑权限状态：无需UAC提升即可写入、在UAC提升后可写入以及不可写入。

我的问题是：对于给定的目录，如何可靠地确定当前用户是否可以将文件复制（并可能覆盖）到该目录，如果可以，如何确定是否需要 UAC 提升？

在 XP 上，这可能就像检查是否授予“允许写入”权限一样简单，但在 Vista / 7 上，有些目录未授予此权限，但使用 UAC 仍然可以执行此操作。

Answer 1

我们有一个用于文件 WriteAccess 的方法，您可以将其改编为目录（Directory.GetAccessControl 等）

    /// <summary> Checks for write access for the given file.
    /// </summary>
    /// <param name="fileName">The filename.</param>
    /// <returns>true, if write access is allowed, otherwise false</returns>
    public static bool WriteAccess(string fileName)
    {
        if ((File.GetAttributes(fileName) & FileAttributes.ReadOnly) != 0)
            return false;

        // Get the access rules of the specified files (user groups and user names that have access to the file)
        var rules = File.GetAccessControl(fileName).GetAccessRules(true, true, typeof(System.Security.Principal.SecurityIdentifier));

        // Get the identity of the current user and the groups that the user is in.
        var groups = WindowsIdentity.GetCurrent().Groups;
        string sidCurrentUser = WindowsIdentity.GetCurrent().User.Value;

        // Check if writing to the file is explicitly denied for this user or a group the user is in.
        if (rules.OfType<FileSystemAccessRule>().Any(r => (groups.Contains(r.IdentityReference) || r.IdentityReference.Value == sidCurrentUser) && r.AccessControlType == AccessControlType.Deny && (r.FileSystemRights & FileSystemRights.WriteData) == FileSystemRights.WriteData))
            return false;

        // Check if writing is allowed
        return rules.OfType<FileSystemAccessRule>().Any(r => (groups.Contains(r.IdentityReference) || r.IdentityReference.Value == sidCurrentUser) && r.AccessControlType == AccessControlType.Allow && (r.FileSystemRights & FileSystemRights.WriteData) == FileSystemRights.WriteData);
    }

希望这会有所帮助。

Answer 2

您只需尝试该操作即可处理可写而无需提升的情况。当失败时，您必须通过 UAC 提升来区分不可写和可写，这可能很困难。

我不认为我希望程序试图为我解决这个问题（因为它们不可避免地会经常出错）。

我认为使用以下假设来设计它是安全的：

• 管理员有时会以受限帐户身份运行他们不信任的试用软件 ->如果您的应用程序要对需要 UAC 的计算机进行侵入性更改，他们希望取消，而不是提升。
• 高级管理员可以写入该文件（毕竟他们是管理员）->不需要实际的 ACL 检查，检测受限令牌就足够了。
• 用户可以使用不同的帐户进行提升，或者可以要求同事完成UAC所需的操作->检查受限令牌将错过这些情况。
• 其他可恢复的事情导致访问被拒绝，包括正在使用的文件 ->有时正确的做法是使用相同的受限权限重试。

因此，总的来说，我建议尝试操作 AsInvoker，如果访问被拒绝，则会弹出一条提示，解释 Windows 拒绝该操作，可能的原因是：文件正在使用、需要提升、需要管理员凭据，并为用户提供三个按钮：

• 取消
• 使用当前凭据重试
• （盾牌图标） 提升权限并重试