Windows权限架构由身份识别（SID）、访问决策（ACL）、资源保护（令牌/UAC/TrustedInstaller）三层机制构成：SID唯一标识主体且不可变；ACL遵循拒绝优先、可继承；UAC实施分层令牌机制，管理员默认以受限令牌运行；TrustedInstaller保护核心组件防篡改。
windows 权限架构不是一套孤立的设置，而是由身份识别、访问决策、资源保护三层紧密咬合的机制构成。理解它，才能真正避开“改个权限就蓝屏”或“设了限制却无效”的典型陷阱。
安全主体：系统认人靠SID，不是用户名
Windows 不看“张三”“李四”，只认唯一的安全标识符（SID）。同一个用户名在不同电脑上 SID 完全不同；重装系统后，哪怕用户名不变，旧权限也会失效——因为 SID 重置了。
- 查看当前用户 SID：运行 whoami /user
- 查看所属组及对应 SID：运行 whoami /groups
- 本地用户和组信息可查：Get-LocalUser | Select Name, SID, Enabled（PowerShell）
管理员账户、SYSTEM、LOCAL SERVICE 都是内置安全主体，拥有预定义的高权限能力，不能简单用“密码强弱”来衡量其风险等级。
访问控制列表（ACL）：拒绝优先，继承可断
每个文件、注册表项、服务都有 DACL（决定谁能做什么）和 SACL（记录谁做了什么）。关键规则只有一条：拒绝 ACE 永远高于允许 ACE，哪怕它排在最后。
- 子对象默认继承父对象权限，但可在“高级安全设置”中取消继承或转换为显式权限
- “仅适用于此文件夹”和“适用于子文件夹和文件”影响范围差异极大，误选会导致权限失控
- 修改 ACL 建议用 PowerShell：先 $acl = Get-Acl "路径"，再 New-Object System.Security.AccessControl.FileSystemAccessRule 添加规则，最后 Set-Acl
令牌与提升：UAC 不是开关，而是分层令牌机制
启用 UAC 后，即使是管理员登录，初始获得的也是“过滤后的管理员令牌”——多数操作只能以标准权限运行。只有明确触发提权（如运行带管理员标志的程序），系统才弹出提示并发放完整令牌。
- 关闭 UAC 并不等于“获得全部权限”，而是绕过令牌过滤，让进程直接使用完整令牌，大幅扩大攻击面
- COM 接口标记为 AutoElevate 时，可绕过 UAC 提示静默提权，这是真实存在的攻击链环节
- DLL 劫持仍有效，尤其当程序未使用安全 DLL 加载路径（如未调用 SetDefaultDllDirectories）时
TrustedInstaller 与系统保护：不是权限不够，是设计如此
Windows Defender、系统更新组件等核心模块受 TrustedInstaller 服务保护。这不是缺陷，而是主动防御设计：防止恶意软件篡改防护本身。
- 普通管理员无法直接修改其注册表项或服务配置，强行操作会被系统还原
- 篡改保护（Tamper Protection）默认开启，需先在 Windows 安全中心手动关闭才能调整部分策略
- 真正需要深度控制时（如企业环境），应通过组策略（GPO）或 Microsoft Intune 等管理通道下发，而非本地直接编辑
