SetNamedSecurityInfo是Windows核心安全API，用于通过对象名称修改文件、注册表等的安全描述符，支持设置所有者、DACL、SACL等，需满足WRITE_OWNER等权限，返回ERROR_SUCCESS表示成功。
修改Windows文件ACL需要先获取句柄并检查权限
直接调用 SetNamedSecurityInfo 或 SetSecurityInfo 失败，大概率是因为当前进程没拿到对应访问权限，或者目标文件被其他进程独占打开。Windows ACL 修改不是“写个结构体就完事”，必须先以 GENERIC_WRITE 或至少 WRITE_DAC + WRITE_OWNER 权限打开文件句柄（或使用对象名称方式绕过句柄）。常见错误是传入只读打开的句柄，此时系统返回 ERROR_ACCESS_DENIED。
实操建议：
立即学习“C++免费学习笔记（深入）”；
- 优先用
SetNamedSecurityInfo，它不需要提前打开句柄，避免因文件锁定失败——尤其对正在被程序占用的日志文件、DLL 等更稳妥 - 若必须用句柄方式（比如要同时修改多个对象属性），需确保
CreateFile的dwDesiredAccess包含WRITE_DAC和/或WRITE_OWNER，且dwShareMode允许其他进程继续读写（如设为FILE_SHARE_READ | FILE_SHARE_WRITE） - 非管理员进程无法提升自身权限去修改他人所有者的 ACL；若目标文件属 SYSTEM 或其他用户，必须以管理员身份运行程序，否则
SetSecurityInfo返回ERROR_PRIVILEGE_NOT_HELD
构造SECURITY_DESCRIPTOR时别漏掉InitializeSecurityDescriptor
很多人直接 memset 一个 SECURITY_DESCRIPTOR 结构体然后塞进 SetSecurityDescriptorDacl，结果调用失败且 GetLastError() 返回 ERROR_INVALID_PARAMETER。这是因为 Windows 要求该结构体必须先用 InitializeSecurityDescriptor 初始化版本字段和标志位，否则内核拒绝解析。
实操建议：
立即学习“C++免费学习笔记（深入）”；
- 永远在分配
PSECURITY_DESCRIPTOR后立即调用InitializeSecurityDescriptor，不能跳过 - 如果要用
ConvertStringSecurityDescriptorToSecurityDescriptor解析 SDDL 字符串（例如"D:(A;;GA;;;BA)(A;;GR;;;WD)"），它内部已初始化，可跳过手动初始化，但要注意返回值是否为TRUE，失败时lpnLength不会被设置 -
SECURITY_DESCRIPTOR是栈上变量时，不要用sizeof(SECURITY_DESCRIPTOR)计算大小——它只是头部，ACL 数据需单独分配并用SetSecurityDescriptorDacl关联
添加ACE时注意继承标志和访问掩码粒度
用 AddAce 往 DACL 插入新 ACE 后，发现权限没生效？常见原因是没设置正确的继承标志（OBJECT_INHERIT_ACE / CONTAINER_INHERIT_ACE），或用了过于宽泛的访问掩码（如 GENERIC_ALL）导致被 UAC 过滤。Windows 对不同对象类型（文件 vs 目录）解释继承标志的方式不同，而 GENERIC_ALL 在非管理员上下文中常被降级为只读。
实操建议：
立即学习“C++免费学习笔记（深入）”；
- 对普通文件，通常只需
FILE_GENERIC_READ | FILE_GENERIC_WRITE，避免用GENERIC_ALL；若要支持删除，显式加DELETE - 想让子文件继承权限，对目录设置 DACL 时必须同时设
OBJECT_INHERIT_ACE（子文件）和CONTAINER_INHERIT_ACE（子目录），缺一不可 - 用
BuildExplicitAccessWithName+SetEntriesInAcl比手写EXPLICIT_ACCESS更安全，它自动处理访问掩码映射和继承标志组合
SetNamedSecurityInfo失败时重点查ERROR_INVALID_OWNER和SDDL语法
调用 SetNamedSecurityInfo 返回 ERROR_INVALID_OWNER，往往不是所有权问题，而是传入的 pszPrincipalName（如 "DOMAIN\User"）格式不合法或用户不存在。另一个高频问题是 SDDL 字符串里用了中文用户名、空格未转义、或误把 WD（Everyone）写成 EVERYONE——SDDL 只认预定义缩写。
实操建议：
立即学习“C++免费学习笔记（深入）”；
- 验证 SID 是否有效：用
LookupAccountName先查账户名能否转成 SID，失败则说明名称格式错或域不可达 - SDDL 中用户/组必须用 SID（如
S-1-5-32-544）或标准缩写（BA=Built-in Administrators,SY=Local System），避免用显示名 - 修改所有权时，
SE_OWNER_NAME参数传的是账户名字符串，但系统仍会按当前登录上下文解析；若跨域操作，建议改用 SID 字符串传给pszOwner
ACL 修改涉及内核对象安全子系统，哪怕参数全对，也可能因策略限制（如组策略禁用继承、强制审核策略）导致行为异常。调试时优先用 GetLastError()，再结合 whoami /all 看当前令牌权限，比反复改代码更省时间。
