SetNamedSecurityInfo 是 Windows 底层直接设置文件 ACL 的标准 API，需管理员权限、绝对路径，全量替换 DACL；构造时用 EXPLICIT_ACCESS 数组经 SetEntriesInAcl 生成 ACL，注意权限掩码、Trustee 形式及 SID 使用。
怎么用 SetNamedSecurityInfo 设置文件 ACL（Windows 底层）
直接调用 SetNamedSecurityInfo 是 Windows 下最接近“底层”的标准方式——它绕过 Shell、不依赖 PowerShell，也不走 .NET 封装，直接和 LSASS 通信。但必须注意：这不是“设置权限”，而是“替换整个 DACL”，搞错结构体或参数会直接锁死文件。
- 必须以管理员权限运行进程，否则
ERROR_ACCESS_DENIED（即使你是文件所有者） -
SE_PRIVILEGE_ENABLED权限不是默认开启的，得先用AdjustTokenPrivileges提权 - 目标路径必须是绝对路径，相对路径会导致
ERROR_INVALID_PARAMETER - ACL 不是“追加”而是“全量替换”，原 ACL 里已有的 ACE（比如 SYSTEM 的 FullControl）若没显式写进新 DACL，就会被删掉
怎么构造正确的 EXPLICIT_ACCESS 并转成 ACL
很多人卡在把“给 Users 组加读取”这种自然语言，翻译成 Win32 安全描述符结构。核心是两步：填 EXPLICIT_ACCESS 数组 → 调 SetEntriesInAcl 合成 ACL*。
-
grfAccessMode选GRANT_ACCESS（不是SET_ACCESS，后者会清空同类型旧 ACE） -
Trustee.TrusteeForm必须是TRUSTEE_IS_NAME，不能用TRUSTEE_IS_SID直接传字符串 SID，否则解析失败 - 用户/组名必须用本地化名称（如中文系统写
"Users"不行，得写"用户"或更稳妥的 SID 字符串"S-1-5-32-545"） -
dwAccessPermissions推荐用GENERIC_READ | GENERIC_EXECUTE，别硬凑FILE_READ_DATA | FILE_EXECUTE，容易漏FILE_LIST_DIRECTORY导致目录打不开
为什么 GetNamedSecurityInfo 返回的 DACL 总是 NULL
不是代码写错了，大概率是没请求 OWNER_SECURITY_INFORMATION | GROUP_SECURITY_INFORMATION | DACL_SECURITY_INFORMATION 这三个 flag 的组合。单独传 DACL_SECURITY_INFORMATION 会被系统忽略，返回空 DACL。
组合式C++代码评审方案，融合静态分析、AI推理、多轮迭代评审和C++专项检查，适用于PR审查、增量代码审查、全项目评审和代码质量评分，触发词包括review cpp、cpp代码评审、C++review、代码审查。
- 调用
GetNamedSecurityInfo时，securityInfo参数必须至少包含DACL_SECURITY_INFORMATION+OWNER_SECURITY_INFORMATION - 返回的
PACL是只读副本，不能直接修改，必须用CopySid和InitializeAcl新建一个 - 如果文件继承自父目录，
GetNamedSecurityInfo返回的 DACL 可能含INHERITED_ACE标志，但SetEntriesInAcl不识别这个标志，得手动清除ACE_INHERITED_ACE位再添加
用 icacls 验证或回滚时要注意什么
命令行工具是调试 ACL 最快的手段，但它和 API 行为不完全一致——比如 icacls file /grant Users:(RX) 默认开启继承，而 SetNamedSecurityInfo 默认关闭继承。
立即学习“C++免费学习笔记（深入）”；
-
icacls file /reset会恢复继承并删掉所有显式 ACE，但不会改 owner，可能和你代码设的 owner 冲突 -
icacls file /save acl.bak保存的是文本格式，不能直接喂给 API；想做备份，得用GetNamedSecurityInfo+ConvertSecurityDescriptorToStringSecurityDescriptor - 用
icacls file /deny Everyone:F加拒绝 ACE 后，API 读出来的 DACL 顺序变了：拒绝 ACE 总在允许 ACE 前面，这是 Windows 强制策略，代码里别假设顺序
ACL 的真正复杂点不在调用函数，而在理解“所有者”“主组”“继承标志”“自动继承传播”这四者的耦合关系。少设一个 flag，或者漏调一次 InitializeSecurityDescriptor，文件就可能变成只有 SYSTEM 能碰的状态——而且连你自己都删不掉。
