最可靠方式是Windows调用CheckTokenMembership检查进程令牌是否含Administrators组SID，Linux/macOS用geteuid()==0判断root权限；需注意UAC令牌分离和WSL权限隔离等平台差异。
Windows下用 CheckTokenMembership 判断是否以管理员身份运行
直接调用 Windows API 是最可靠的方式。不能只看进程名或尝试写系统目录来“猜测”，因为 UAC 可能启用虚拟化，导致看似成功写入实则被重定向到用户目录。
关键点是获取当前进程的访问令牌，再检查它是否属于 BUILTIN\Administrators 组：
- 调用
OpenProcessToken(GetCurrentProcess(), TOKEN_QUERY, &hToken)获取令牌句柄 - 用
AllocateAndInitializeSid构造BUILTIN\Administrators的 SID（注意参数顺序：SECURITY_BUILTIN_DOMAIN_RID+DOMAIN_ALIAS_RID_ADMINS） - 传给
CheckTokenMembership(hToken, pAdminSid, &bIsAdmin)，返回值为非零即为管理员 - 别忘了
FreeSid(pAdminSid)和CloseHandle(hToken)，否则泄漏句柄
Linux/macOS 下检查 real/effective UID 是否为 0
Unix-like 系统不叫“管理员”，而是看 UID。但要注意：getuid() 返回真实 UID（启动时的），geteuid() 返回有效 UID（当前权限上下文）。真正决定权限的是后者。
典型误判场景：程序被 sudo 启动，但未正确设置 setuid 位，或被容器限制——此时 geteuid() == 0 才代表有 root 权限：
立即学习“C++免费学习笔记（深入）”；
C++ Code Review Master
下载
组合式C++代码评审方案，融合静态分析、AI推理、多轮迭代评审和C++专项检查，适用于PR审查、增量代码审查、全项目评审和代码质量评分，触发词包括review cpp、cpp代码评审、C++review、代码审查。
- 用
geteuid() == 0判断，不是getuid() - 如果程序通过
sudo运行，geteuid()通常为 0；若仅靠setuid文件权限提升，则依赖文件本身的setuid位是否生效 -
getuid() != geteuid()表示权限被临时降级（如某些守护进程），这时仍应以geteuid()为准
跨平台封装时避免硬编码字符串或平台宏污染
别写 #ifdef _WIN32 / #else 套一大段逻辑。把平台差异收进一个内联函数里，对外只暴露统一接口：
inline bool IsPrivileged() {
#ifdef _WIN32
HANDLE hToken;
if (!OpenProcessToken(GetCurrentProcess(), TOKEN_QUERY, &hToken)) return false;
PSID pAdminSid = nullptr;
SID_IDENTIFIER_AUTHORITY NtAuthority = SECURITY_NT_AUTHORITY;
if (!AllocateAndInitializeSid(&NtAuthority, 2, SECURITY_BUILTIN_DOMAIN_RID,
DOMAIN_ALIAS_RID_ADMINS, 0, 0, 0, 0, 0, 0, &pAdminSid)) {
CloseHandle(hToken);
return false;
}
BOOL bIsAdmin = FALSE;
CheckTokenMembership(hToken, pAdminSid, &bIsAdmin);
FreeSid(pAdminSid);
CloseHandle(hToken);
return bIsAdmin != 0;
#else
return geteuid() == 0;
#endif
}
注意：Windows 版本必须链接 Advapi32.lib，否则链接失败报 unresolved external symbol CheckTokenMembership。
常见误判和调试建议
很多代码跑在开发机上看似正常，一部署就出错，往往是因为没考虑实际运行环境：
- Windows 上启用了 UAC 但程序未声明
requestedExecutionLevel，即使用户是管理员，进程默认也是中等完整性级别（Medium IL），CheckTokenMembership仍会返回 true，但实际 I/O 可能被虚拟化拦截 - Linux 容器中
geteuid() == 0不代表能访问宿主机设备或挂载点，得看 capabilities（如CAP_SYS_ADMIN）是否被授予 - 不要用
system("whoami")或解析命令输出——慢、不可靠、易受环境变量干扰 - 调试时用
Process Explorer（Win）或cat /proc/self/status | grep -i "uid\|cap"（Linux）直接验证实际 token/capabilities 状态
权限判断本身很简单，难的是后续操作是否真能执行——拿到“是管理员”这个布尔值后，下一步的系统调用仍可能因策略、沙箱或完整性级别被拒绝。
