Windows下C++写入NTFS扩展属性必须用SetFileInformationByHandle配合FILE_FULL_EA_INFORMATION，需手动构造链式缓冲区，注意ASCII名称、长度限制、对齐要求及系统策略限制。
Windows下C++写入NTFS扩展属性（EA）必须用SetFileInformationByHandle配合FILE_FULL_EA_INFORMATION
NTFS扩展属性（Extended Attributes，EA）在Windows中并非通过常规fopen或CreateFile+WriteFile写入，而是依赖底层文件系统控制块（FSCTL）和特定结构体。直接调用SetVolumeInformation或SetFileAttributes完全无效——它们操作的是卷标或DOS属性位，与EA无关。
核心路径是：CreateFile打开句柄 → 构造FILE_FULL_EA_INFORMATION链式缓冲区 → 调用SetFileInformationByHandle传入FileFullEaInformation信息类。
- 必须以
GENERIC_WRITE权限打开文件，且dwFlagsAndAttributes中**不能**含FILE_FLAG_NO_BUFFERING（EA写入依赖内核缓冲） - EA名称必须是ASCII字符串（不支持Unicode），长度≤255字节；值数据最大64KB（单个EA），整个EA列表总长≤64KB
- 名称与值之间用
\0分隔，每个EA末尾用额外\0标记结束，整块缓冲区末尾再补一个\0—— 少一个就触发ERROR_INVALID_PARAMETER
FILE_FULL_EA_INFORMATION结构体必须手动拼接，不能用memset清零后直接赋值
这个结构体是变长的：固定头+名称+值+填充，且多个EA需首尾相接形成单块内存。用sizeof(FILE_FULL_EA_INFORMATION)算偏移会出错，因为编译器对char EaName[1]不计入大小。
正确做法是按顺序计算各字段偏移：
立即学习“C++免费学习笔记（深入）”；
DWORD eaSize = sizeof(FILE_FULL_EA_INFORMATION) +
(DWORD)strlen("MyAppID") + 1 + // 名称+结尾\0
4 + 1; // 值长度(4字节)+结尾\0
PFILE_FULL_EA_INFORMATION pEa = (PFILE_FULL_EA_INFORMATION)malloc(eaSize);
pEa->NextEntryOffset = 0; // 单个EA，设0
pEa->Flags = 0; // 通常为0（EA不继承）
pEa->EaNameLength = (BYTE)strlen("MyAppID");
pEa->EaValueLength = 4;
memcpy(pEa->EaName, "MyAppID", 7); // 包括\0
memcpy(pEa->EaName + 8, &idValue, 4); // 值紧贴名称后，无间隙
// 注意：整个缓冲区末尾还需补一个\0（即pEa + eaSize处），否则API拒绝
- 若写多个EA，前一个
NextEntryOffset必须指向下一个FILE_FULL_EA_INFORMATION起始地址（不是相对偏移！是绝对差值） -
EaName区域必须全ASCII，含中文会返回ERROR_INVALID_NAME -
EaValueLength是纯数据长度，不含结尾\0；但如果你存的是字符串，自己决定是否加\0
调用SetFileInformationByHandle失败时，90%是ERROR_MORE_DATA或ERROR_INVALID_PARAMETER
ERROR_MORE_DATA表面是缓冲区不够，实际往往意味着EA链格式错误（比如NextEntryOffset没对齐到DWORD边界，或最后一个EA没置0）；ERROR_INVALID_PARAMETER则大概率是EaNameLength/EaValueLength与真实数据长度不一致，或缓冲区总长没按sizeof(FILE_FULL_EA_INFORMATION)+nameLen+1+valueLen+1严格计算。
- 调试时先用
GetFileInformationByHandle查dwFileAttributes是否含FILE_ATTRIBUTE_READONLY——只读文件无法写EA - 确保目标文件在NTFS卷上：
GetVolumeInformation检查lpFileSystemName是否为"NTFS"，FAT32/ReFS均不支持 - 用
Process Monitor抓IRP_MJ_SET_INFORMATION操作，看Kernel是否返回STATUS_INVALID_PARAMETER，比 GetLastError 更准
EA在C++中不可移植，且Win11 22H2后部分安全策略默认禁用非系统EA写入
NTFS EA是Windows私有机制，Linux/macOS的setxattr写入的EA Windows完全看不到，反之亦然。更关键的是：从Windows 11 22H2开始，组策略Computer Configuration → Administrative Templates → System → Filesystem → NTFS → Prevent writing extended attributes若启用，所有非SYSTEM账户的EA写入都会静默失败（返回ERROR_ACCESS_DENIED，而非提示策略拦截）。
- 普通应用应避免依赖EA存储关键数据；如需跨平台元数据，改用备用数据流（ADS）或外部SQLite库
- EA值无类型标识，全是字节数组，解析逻辑必须由应用自定义并固化——没有“自动反序列化”这回事
- 杀毒软件或EDR常监控
NtSetInformationFile调用EA写入，可能误报为恶意行为
EA本质是NTFS的底层钩子，不是设计给应用层随意使用的接口。能不用就不用，真要用，务必验证目标环境策略、权限、文件系统类型三重条件。
