如何创建一个目录，并赋予所有人完全的权限？

Question

我需要通过编程创建一个目录，并将"完全控制"权限授予"所有人"组。如果我使用

CreateDirectory(path, NULL);

根据Win32 SDK 文档，这将创建一个继承自其父目录的目录。我不想继承父目录的访问权限，需要确保“所有人”对该目录拥有完全控制权。

显然，这需要使用适当的安全描述符设置SECURITY_ATTRIBUTES结构。我该怎么做？

- Jeff Stong

Answer 1

这里有一种看起来可行的技巧：

SID_IDENTIFIER_AUTHORITY SIDAuthWorld = SECURITY_WORLD_SID_AUTHORITY;
PSID everyone_sid = NULL;
AllocateAndInitializeSid(&SIDAuthWorld, 1, SECURITY_WORLD_RID, 
   0, 0, 0, 0, 0, 0, 0, &everyone_sid);

EXPLICIT_ACCESS ea;
ZeroMemory(&ea, sizeof(EXPLICIT_ACCESS));
ea.grfAccessPermissions = SPECIFIC_RIGHTS_ALL | STANDARD_RIGHTS_ALL;
ea.grfAccessMode = SET_ACCESS;
ea.grfInheritance = NO_INHERITANCE;
ea.Trustee.TrusteeForm = TRUSTEE_IS_SID;
ea.Trustee.TrusteeType = TRUSTEE_IS_WELL_KNOWN_GROUP;
ea.Trustee.ptstrName  = (LPWSTR)everyone_sid;

PACL acl = NULL;
SetEntriesInAcl(1, &ea, NULL, &acl);

PSECURITY_DESCRIPTOR sd = (PSECURITY_DESCRIPTOR)LocalAlloc(LPTR, 
                                   SECURITY_DESCRIPTOR_MIN_LENGTH);
InitializeSecurityDescriptor(sd, SECURITY_DESCRIPTOR_REVISION);
SetSecurityDescriptorDacl(sd, TRUE, acl, FALSE);

SECURITY_ATTRIBUTES sa;
sa.nLength = sizeof(SECURITY_ATTRIBUTES);
sa.lpSecurityDescriptor = sd;
sa.bInheritHandle = FALSE;

CreateDirectory(path, &sa);

FreeSid(everyone_sid);
LocalFree(sd);
LocalFree(acl);

请注意，此示例代码完全没有错误检查 — 您需要自己提供。

- Jeff Stong

---

兄弟，非常感谢你提供的这段代码。我一直在尝试找出为什么我的游戏在创建用户特定应用程序数据文件夹时会崩溃。你的代码救了我——不再崩溃了。 - dimayak

Answer 2

我更喜欢以下代码片段，因为它创建了一个继承默认权限的文件夹 - 这似乎是正确的做法 - 其他软件/用户可能已经为目录设置了特定的可继承权限，出于合法的原因 - 然后添加了一个内置“用户”组的完全控制显式访问条目。

BOOL CreateDirectoryWithUserFullControlACL(LPCTSTR lpPath)
{
  if(!CreateDirectory(lpPath,NULL))
    return FALSE;

  HANDLE hDir = CreateFile(lpPath,READ_CONTROL|WRITE_DAC,0,NULL,OPEN_EXISTING,FILE_FLAG_BACKUP_SEMANTICS,NULL);
  if(hDir == INVALID_HANDLE_VALUE)
    return FALSE; 

  ACL* pOldDACL;
  SECURITY_DESCRIPTOR* pSD = NULL;
  GetSecurityInfo(hDir, SE_FILE_OBJECT , DACL_SECURITY_INFORMATION,NULL, NULL, &pOldDACL, NULL, (void**)&pSD);

  PSID pSid = NULL;
  SID_IDENTIFIER_AUTHORITY authNt = SECURITY_NT_AUTHORITY;
  AllocateAndInitializeSid(&authNt,2,SECURITY_BUILTIN_DOMAIN_RID,DOMAIN_ALIAS_RID_USERS,0,0,0,0,0,0,&pSid);

  EXPLICIT_ACCESS ea={0};
  ea.grfAccessMode = GRANT_ACCESS;
  ea.grfAccessPermissions = GENERIC_ALL;
  ea.grfInheritance = CONTAINER_INHERIT_ACE|OBJECT_INHERIT_ACE;
  ea.Trustee.TrusteeType = TRUSTEE_IS_GROUP;
  ea.Trustee.TrusteeForm = TRUSTEE_IS_SID;
  ea.Trustee.ptstrName = (LPTSTR)pSid;

  ACL* pNewDACL = 0;
  DWORD err = SetEntriesInAcl(1,&ea,pOldDACL,&pNewDACL);

  if(pNewDACL)
    SetSecurityInfo(hDir,SE_FILE_OBJECT,DACL_SECURITY_INFORMATION,NULL, NULL, pNewDACL, NULL);

  FreeSid(pSid);
  LocalFree(pNewDACL);
  LocalFree(pSD);
  LocalFree(pOldDACL);
  CloseHandle(hDir);

  return TRUE;
}

- Chris Becke

Answer 3

请尝试使用SetSecurityInfo()。

在可选参数pDacl的描述中：

…如果SecurityInfo参数的值包括DACL-SECURITY-INFORMATION标志，并且此参数的值设置为NULL，则授予每个人对对象的完全访问权限。

- JeffH

---

我正在寻找一种解决方案，该方案使用非空且正确初始化的SECURITY_ATTRIBUTE与CreateDirectory()调用一起使用。 - Jeff Stong

我有一段代码不小心设置了一个空的DACL，在UAC开启的情况下，最终结果并没有给所有用户完全控制。 - Chris Becke