应使用 getgrouplist() 获取用户所有组，而非 getgrgid(getgid())；Windows 应用 OpenProcessToken + GetTokenInformation 获取 token 中带 SE_GROUP_ENABLED 标志的 SID 列表，而非 NetUserGetGroups。
Linux/macOS 用 getgrgid 获取组信息，但别直接传 getuid()
你拿到的不是用户所属组列表，而是当前有效组 ID 对应的单个组（比如 getgrgid(getgid()) 只返回主组）。真正要的是用户所有组，得用 getgrouplist() 或 getgroups() 配合循环查 getgrgid()。
-
getgrouplist(const char* user, gid_t group, gid_t* groups, int* ngroups)是最稳的选择：它不依赖当前进程的有效组，能准确列出用户在系统中被分配的所有组（包括通过/etc/group和 LDAP 等后端配置的） - 调用前必须先调用一次获取所需数组长度：
int n = 0; getgrouplist("username", primary_gid, nullptr, &n);，再分配内存重试 - 注意
user参数不能是空指针或当前用户名字符串字面量（某些 glibc 版本会崩溃），建议用getpwuid(getuid())->pw_name安全获取
Windows 上 NetUserGetGroups 不能直接用，得先 NetUserEnum 或换方案
NetUserGetGroups 看起来对口，但它只查本地 SAM 或域控制器上的“用户账户所属的全局组”，不返回本地组（如 Users、Administrators），更不反映当前登录会话的实际组令牌（token）——而这才是权限判断的真实依据。
- 实际开发中更可靠的是用 Windows API
OpenProcessToken+GetTokenInformation拿TokenGroups，它返回的是当前进程 token 中生效的所有 SID，包含本地组、域组、内置组（如BUILTIN\Administrators） - 如果非要走 NetAPI，得先用
NetUserEnum找到目标用户，再用NetUserGetGroups；但该函数在非域环境可能返回ERROR_ACCESS_DENIED，且要求调用者有SE_USER_LOGON_RIGHT权限 - 跨平台封装时，别让 Windows 路径硬编码
localhost或空字符串作为服务器名，NULL表示本地，否则在某些 Win10/11 上会失败
跨平台抽象时，避免把“组名”当唯一标识
Linux 用 gr_name，Windows 用 SID 字符串（如 S-1-5-32-544），二者语义不同：组名可重命名，SID 不可变。权限校验若依赖名称，在域环境或重命名后立刻失效。
- Linux 下可用
getgrnam()反查，但要注意 NIS/LDAP 延迟导致缓存不一致；建议优先用gid_t做逻辑判断（比如是否为 0 / 100 / 999） - Windows 下拿到
PSID后，用LookupAccountSid()转名称仅用于日志或显示，校验逻辑应基于 SID 比较（EqualSid()） - 跨平台结构体里不要存
std::string group_name，改用std::variant<gid_t std::array>></gid_t>存原始标识，名称延迟解析
性能和线程安全：glibc 的 getgrouplist 不是线程安全的
glibc 2.34+ 之前，getgrouplist() 内部用静态缓冲区，多线程并发调用会踩内存；Windows 的 Net* 系列函数虽线程安全，但默认走 SMB 协议，首次调用可能卡几百毫秒等网络超时。
立即学习“C++免费学习笔记（深入）”；
- Linux：升级到 glibc ≥2.34 可用
getgrouplist_r()（带_r后缀的可重入版本），否则必须加互斥锁或 fork 进子进程调用 - Windows：用
LookupAccountSid()替代NetUserGetGroups做本地组解析，它走本地 LSA，无网络依赖；但注意它不返回域组，需配合NetUserGetLocalGroups补全 - 缓存策略要区分场景：登录态组列表可缓存整个 session，但 sudo 切用户后必须重新获取
实际跨平台代码里，最易被跳过的一步是：没检查 Windows token 中的 SE_GROUP_ENABLED 标志位。哪怕某个组 SID 在 token 里，如果标志位没置上，它就不参与权限计算——这比单纯“有没有这个组”更关键。
