c# - Windows 如何解决冲突的文件系统权限/权利？

Question

在Windows的安全体系中，一个用户可以属于多个组，一个组又可以包含其他的组。在 Windows 中解决权限冲突的“规则”是什么？

例如，假设用户在 A 组和 B 组中。A 组对文件具有“拒绝读取”，而“B 组”具有“允许读取”。用户可以读取文件吗？

如果用户本身已被拒绝阅读某些内容的权利，但它所在的组明确允许该权限怎么办？

虽然我知道如何通过 AccessRules 获取特定文件系统资源的权限以及它们公开的权限，但由于规则针对的是特定的 IdentityReference，它可能是用户或组，我已经看到冲突并正在尝试确定找出“谁赢了”的逻辑。

...或者是否有一种已知的方式说“让我获得该用户的所有权利，同时考虑到任何成员资格”并让系统担心它？ (我很惊讶我还没有找到确切的答案。我正在做的事情看起来工作量很大。)

var Identity = WindowsIdentity.GetCurrent();
var fileInfo = new FileInfo(@"C:\Code\Path\To\Some\File.txt");

// Get all identity references for this user (user's and it's groups)
var identityReferences = new HashSet<IdentityReference>();
identityReferences.Add(Identity.User);
foreach(var group in Identity.Groups)
    identityReferences.Add(group);

// Get all rules for this user on this specific FileInfo
var fileSystemAccessRules = fileInfo.GetAccessControl()
    .GetAccessRules(true, true, typeof(SecurityIdentifier))
    .OfType<FileSystemAccessRule>()
    .Where(rule => identityReferences.Contains(rule.IdentityReference));

FileSystemRights allowedUserRightsMask = 0;
FileSystemRights deniedUserRightsMask  = 0;

// Get mask of all granted, and all denied rules
foreach(var fileSystemAccessRule in fileSystemAccessRules)
{
    var ruleRights = fileSystemAccessRule.FileSystemRights;

    var relevantUserRightsMask = (fileSystemAccessRule.AccessControlType == AccessControlType.Allow)
        ? allowedUserRightsMask
        : deniedUserRightsMask;

    relevantUserRightsMask |= ruleRights;
}

// Do something with the final user rights mask here.

Answer 1

如 Understanding Windows NTFS Permissions 中所述权限优先级如下:

1. 明确拒绝
2. 明确允许
3. 继承拒绝
4. 继承允许

所以，回答你的问题:这取决于。明确拒绝总是优先的；然而，继承拒绝“输给”显式允许。

有关此含义的更多详细信息，请参阅文章。