Local System权限远高于Network Service：前者属本地Administrators组，可完全控制本地资源并以计算机账户自动域认证；后者权限受限，仅能以计算机账户访问需授权的网络资源，且默认无法访问未显式授权的NTFS路径。
“本地系统”（local system）权限远高于“网络服务”（network service），核心区别在于本地资源控制力、网络身份表现和安全边界。
本地系统账户的实际权限范围
该账户默认属于本地 Administrators 组，能：
- 读写任意 NTFS 文件和注册表项，包括接管所有权
- 加载驱动、调试进程、操作服务控制管理器（SCM）
- 以计算机账户身份在域内自动认证（无需密码），访问同森林中其他机器的资源
- 使用空会话（null session）连接远程共享或 WMI 接口
- 但不加载任何用户配置：它用的是 HKEY_USERS\.Default，无法读取当前登录用户的桌面设置或加密密钥
网络服务账户的权限特点
它代表本机在网络中“有身份但受限”的角色：
- 权限接近普通认证用户（Authenticated Users），不能修改系统关键配置或接管文件所有权
- 访问网络时，使用本机计算机账户（如 DOMAIN\SERVERNAME$）凭据，需目标端明确授权该计算机账户
- 配置文件位于 HKEY_USERS\S-1-5-20，独立于用户配置，也隔离于 Local System
- 对本地文件系统，默认只能访问 Everyone、Users、Network Service 组有权限的路径；NTFS 下若未显式赋权，常导致 SQL Server 附加数据库失败（尤其 mdf/ldf 在 NTFS 卷上）
典型使用场景对比
选 Local System 适合：
Handsfree Windows Control
下载
通过 handsfree-windows CLI控制 Windows 本机应用 (UIA) 和浏览器 (Playwright) 的引导技能，用于自动化或测试桌面应用。
- 需要深度系统集成的服务，如 Windows Update、Task Scheduler、Server 服务
- 运行 IIS 工作进程且需访问本地加密证书或 COM+ 组件
- 本地开发调试环境，快速绕过权限限制
选 Network Service 更合适：
- 需跨机器调用域内服务（如 Active Directory 查询、分布式事务 DTC）
- SQL Server 实例需连接其他服务器上的 SQL 或文件共享
- 兼顾功能与最小权限原则——比 Local System 安全，又比 Local Service 具备网络身份
注意：用 Network Service 连接本机 SQL Server 时，. 和 (local) 默认不可用，必须显式指定 127.0.0.1,端口号 或 localhost,端口号。
