最可靠方式是Windows调用CheckTokenMembership检查进程令牌是否含Administrators组SID，Linux/macOS用geteuid()==0判断root权限；需注意UAC令牌分离和WSL权限隔离等平台差异。
Windows下用CheckTokenMembership判断管理员身份最可靠
直接调用CheckTokenMembership是Windows平台判断当前进程是否拥有管理员权限的推荐方式，它不依赖UAC虚拟化状态，也不受令牌完整性级别干扰。关键点在于：必须传入NULL作为第一个参数（表示当前进程令牌），并使用DOMAIN_ALIAS_RID_ADMINS对应的SID来检查成员资格。
常见错误是误用IsUserAnAdmin——这个API在启用了UAC的系统上已过时，且对提升后的受限令牌返回FALSE，导致误判。
- 需包含头文件：
#include <windows.h>、#include <sddl.h> - 链接
advapi32.lib - 调用前用
OpenProcessToken获取当前进程令牌（TOKEN_QUERY权限） - 用
ConvertStringSidToSid或CreateWellKnownSid构造管理员组SID，后者更安全（避免字符串解析失败）
Linux/macOS下检查有效UID是否为0
类Unix系统没有“管理员权限”概念，而是看进程的有效用户ID（EUID）是否为0。注意不是真实UID（RUID）——比如用sudo启动的程序，RUID可能是普通用户，但EUID是0。
容易忽略的是容器环境：Docker默认以root运行时EUID=0，但若指定了--user，EUID就不是0；此时即使有cap_sys_admin能力，geteuid() == 0仍返回false。
立即学习“C++免费学习笔记（深入）”；
组合式C++代码评审方案，融合静态分析、AI推理、多轮迭代评审和C++专项检查，适用于PR审查、增量代码审查、全项目评审和代码质量评分，触发词包括review cpp、cpp代码评审、C++review、代码审查。
- 使用
geteuid()（POSIX标准），不是getuid() - 不需要额外链接库，
#include <unistd.h>即可 - 返回值为
0表示具备等效于root的权限（能访问所有文件、绑定特权端口等）
跨平台封装时别混淆“有权限”和“已提升”
很多项目想写一个is_admin()函数统一处理，但Windows和Linux语义不同：Windows的“管理员”是组成员身份，而Linux的“root”是UID数值。更麻烦的是，Windows上即使属于Administrators组，若未通过UAC提升，令牌仍是受限的——此时CheckTokenMembership返回TRUE，但实际无法写C:\Windows。
所以真正要问的不是“是不是管理员”，而是“能不能执行某操作”。比如要写注册表，应直接尝试RegCreateKeyEx并检查ERROR_ACCESS_DENIED；要写系统目录，应直接open()目标路径并检查EACCES。
- 不要缓存判断结果：Windows下UAC提升后令牌会变，Linux下
setuid可动态切换EUID - 避免在日志里打印“当前是管理员”这种模糊表述，改用“已获取写入
/etc所需权限” - 若必须跨平台抽象，建议拆成
has_privileged_group_membership()（Windows）和has_root_euid()（POSIX）两个函数
调试时用whoami /groups和id -a验证结果
代码跑出来的结果是否可信？Windows下运行whoami /groups，找输出中是否有S-1-5-32-544（Administrators组）且Attribute列为Enabled或Enabled by default；Linux下运行id -a，确认euid=0且groups:列表含0(root)。
特别容易踩的坑：VS调试器启动程序时默认继承IDE权限——如果VS是以管理员运行的，你的程序也自动获得管理员令牌，但双击exe却不行。务必脱离IDE单独测试。
- Windows：命令行用
runas /user:Administrator cmd模拟非管理员启动 - Linux：用
sudo -u nobody ./your_program测试降权场景 - macOS注意：
geteuid()同样适用，但系统完整性保护（SIP）会让部分路径（如/System）即使root也无法写，需单独处理
