最可靠方式是Windows调用CheckTokenMembership检查进程令牌是否含Administrators组SID，Linux/macOS用geteuid()==0判断root权限；需注意UAC令牌分离和WSL权限隔离等平台差异。
Windows下用CheckTokenMembership判断是否以管理员身份运行
Windows没有“特权等级”这个抽象概念，只有“当前进程的访问令牌是否包含管理员组SID”。直接查IsUserAnAdmin函数虽简单，但它已被标记为弃用（从Windows Vista起），且在UAC启用时可能返回错误结果——比如程序被标准用户启动但提权窗口已关闭，它仍可能返回TRUE。
正确做法是调用CheckTokenMembership，传入当前进程的访问令牌和SE_GROUP_ENABLED状态下的S-1-5-32-544（即BUILTIN\Administrators组SID）：
HANDLE hToken;
if (OpenProcessToken(GetCurrentProcess(), TOKEN_QUERY, &hToken)) {
SID adminSid;
SID_IDENTIFIER_AUTHORITY auth = SECURITY_NT_AUTHORITY;
AllocateAndInitializeSid(&auth, 2, SECURITY_BUILTIN_DOMAIN_RID, DOMAIN_ALIAS_RID_ADMINS,
0, 0, 0, 0, 0, 0, &adminSid);
BOOL bIsAdmin = FALSE;
CheckTokenMembership(hToken, &adminSid, &bIsAdmin);
FreeSid(&adminSid);
CloseHandle(hToken);
}
- 必须用
TOKEN_QUERY打开令牌，不能用TOKEN_READ（后者在某些策略下失败） - 不要忽略
CheckTokenMembership的返回值——它可能失败（如令牌被撤销），此时bIsAdmin未定义 - 如果程序本身没拿到令牌（例如被沙盒限制），
OpenProcessToken会失败，需兜底处理
Linux/macOS下用geteuid和getegid判断是否为root
Unix-like系统靠有效UID/GID决定权限边界。root用户的uid == 0且gid == 0是唯一可靠依据；仅检查getuid()不够——因为程序可能setuid后降权，而geteuid()反映的是当前实际生效的UID。
典型误判场景：某程序由root启动、随后调用setuid(1000)切换到普通用户，此时getuid()是1000，但geteuid()仍是0，它仍能执行特权操作。
立即学习“C++免费学习笔记（深入）”；
- 必须同时检查
geteuid() == 0和getegid() == 0，某些系统（如FreeBSD）对组权限也有要求 - 不要依赖
/proc/self/status或id -u命令调用——它们有额外开销且可能被容器环境干扰 - 在容器中（如Docker默认非privileged），即使
geteuid() == 0也不代表拥有全部主机权限，需结合capget()查具体能力集
跨平台封装时避开常见陷阱
别写#ifdef _WIN32 / #else二分逻辑就完事。真实项目里常遇到：Windows上程序以管理员运行但UAC被禁用，Linux上root用户被限制了cap_net_bind_service能力——这时“有root”不等于“能绑定1024以下端口”。
- 避免全局缓存结果：用户可能中途提权/降权（如Windows上用
runas重开进程，或Linux用sudo -s），每次关键操作前应重新检查 - 不要把“管理员/root”等同于“可执行任意系统调用”：现代系统有seccomp、SELinux、capabilities等多层控制，
geteuid() == 0只是第一道门槛 - 日志里记录的是
geteuid()和getegid()值，而不是笼统写“running as root”，否则排查容器权限问题时会误导
为什么不能只看进程名或启动方式
有人试图通过解析/proc/[pid]/cmdline找sudo或检查父进程是否为explorer.exe来推断权限，这完全不可靠。
Windows上，一个被计划任务以SYSTEM账户启动的程序，其父进程可能是svchost.exe；Linux上，systemd服务以root启动但ExecStart=指定的二进制文件本身并不含sudo字符串。
- 所有基于进程树或命令行的启发式判断，在服务化、容器化、沙盒化场景下必然失效
- 真正有效的信号永远来自内核：Windows的令牌成员关系、Linux的有效UID/GID，这是唯一被系统保证的权威来源
- 若需更高阶权限验证（如能否写某路径），应直接尝试操作+捕获
EACCES/Access is denied错误，而非预判
