最可靠的方式是检查当前令牌是否提权：.NET 6+ 用 WindowsIdentity.GetCurrent().Token.IsElevated；旧版用 new WindowsPrincipal(WindowsIdentity.GetCurrent()).IsInRole(WindowsBuiltInRole.Administrator)，它反映实际令牌权限而非账户所属组。
怎么用 WindowsIdentity 判断当前进程是否以管理员运行
最可靠的方式是查当前用户的组成员身份，而不是依赖进程名或权限字符串。因为 Windows 的 UAC 提权机制下，“管理员组”和“实际拥有管理员令牌”不是一回事。
关键点在于：即使用户属于 Administrators 组，若没经过 UAC 提权，进程拿到的是“受限令牌”，权限被降级了。
- 用
WindowsIdentity.GetCurrent().Groups检查是否包含Administrators组的 SID（new SecurityIdentifier(WellKnownSidType.BuiltinAdministratorsSid, null)） - 但必须同时调用
WindowsIdentity.GetCurrent().IsSystem或检查Token.IsElevated（.NET 6+ 支持） - .NET Framework 4.5+ 可用
WindowsPrincipal快速判断：var principal = new WindowsPrincipal(WindowsIdentity.GetCurrent());<br>bool isElevated = principal.IsInRole(WindowsBuiltInRole.Administrator);
- 注意：这个
IsInRole在非提权状态下返回false，哪怕用户本身是管理员——它反映的是当前令牌的实际权限，不是账户能力
IsUserAnAdmin() 还能用吗？为什么建议别用
IsUserAnAdmin() 是 Win32 API，C# 里要 P/Invoke 调用 shell32.dll 中的函数。它在 Windows 10 1809+ 和 Server 2019 后行为有变化：即使进程未提权，只要用户属于管理员组就返回 true。
- 结果不可靠，无法区分“账号是管理员”和“当前进程有管理员权限”
- 在启用了“管理员批准模式”的域环境中尤其容易误判
- 没有异常处理兜底，遇到权限查询失败（如策略禁用）可能直接抛
UnauthorizedAccessException - 替代方案更轻量、不依赖 P/Invoke，也无兼容性风险
不同 .NET 版本下获取提权状态的写法差异
.NET Core 3.0+ 和 .NET 5+ 提供了更底层的 WindowsIdentity.Token 属性，可直接访问令牌信息；而旧版 Framework 只能靠 WindowsPrincipal 间接判断。
- .NET 6+ 推荐：
bool isElevated = WindowsIdentity.GetCurrent().Token.IsElevated;
- .NET Framework 4.0–4.8：
var identity = WindowsIdentity.GetCurrent();<br>var principal = new WindowsPrincipal(identity);<br>bool isElevated = principal.IsInRole(WindowsBuiltInRole.Administrator);
- 跨平台项目（如用 .NET 5+ 但目标 Windows）仍可用上述方式，但需确保
RuntimeInformation.IsOSPlatform(OSPlatform.Windows)为true，否则WindowsIdentity会抛异常
提权检测失败时的常见错误现象和排查方向
返回 false 但你确定点了“以管理员身份运行”？或者返回 true 却依然被拒绝访问 C:\Windows\System32 下的文件？说明检测逻辑或使用时机有问题。
- 进程启动后中途被降权（比如通过
Process.Start启动子进程但没设UseShellExecute = true和Verb = "runas"） - 在 ASP.NET 应用中调用——IIS 工作进程默认不以管理员运行，且不允许提权，
IsInRole总是false - UAC 设置为“从不通知”时，部分系统会跳过提权流程，导致看似以管理员运行，实则仍是标准令牌
- 调试时用 VS 启动，默认继承 VS 进程权限；VS 若没以管理员运行，你的程序也不会提权——别只测 F5，要单独双击 exe 验证
判断是否提权这件事，核心不在“能不能查到”，而在“查的是令牌还是账户”。很多坑都出在混淆这两者，尤其是拿开发机测试完就上线，结果在客户机器上权限逻辑崩掉。
