如何将creat/mkdir中的POSIX权限映射至Windows ACL/文件属性

现成的参考实现 #

• MinGW-w64：其libc实现包含POSIX权限到Windows ACL的映射逻辑，核心是将POSIX的owner/group/other权限对应到Windows的文件所有者、所属组以及Everyone组，通过构建自定义ACL实现读、写、执行权限的转换。
• Cygwin：完整实现了POSIX权限模型到Windows安全模型的映射，涵盖权限位解析、ACL生成，甚至支持POSIX ACL扩展特性，可参考其源码中的权限处理模块。
• WSL底层组件：微软为WSL开发的桥接逻辑中，有一套针对Win10+优化的POSIX权限与Windows ACL双向映射机制。

手动实现的具体方案 #

基于Win10+现代API，可按以下步骤实现核心权限映射：

1. 核心权限映射规则 #

定义POSIX权限位与Windows访问权限的对应关系（优先保障核心兼容）：

2. 实现步骤（以mkdir为例） #

1. 解析POSIX mode参数：提取owner/group/other的读、写、执行权限位。
2. 获取用户与组SID：使用GetTokenInformation获取当前进程的用户SID和主组SID，Everyone组SID可通过CreateWellKnownSid直接获取。
3. 构建ACL结构：
   • 初始化ACL对象，预留足够空间添加ACE项。
   • 为所有者、组、Everyone分别添加ACCESS_ALLOWED_ACE，根据解析出的权限位设置对应Windows访问掩码。
4. 关联安全描述符：将构建好的ACL绑定到安全描述符的DACL（自主访问控制列表）。
5. 创建目录：调用CreateDirectoryExW，传入包含自定义ACL的SECURITY_ATTRIBUTES。

核心逻辑代码片段：

// 转换POSIX权限位到Windows访问掩码
DWORD posix_mode_to_win_mask(mode_t mode, int is_dir) {
    DWORD mask = 0;
    // 处理所有者权限
    if (mode & S_IRUSR) mask |= is_dir ? FILE_LIST_DIRECTORY : FILE_READ_DATA;
    if (mode & S_IWUSR) mask |= is_dir ? FILE_ADD_FILE | FILE_DELETE_CHILD : FILE_WRITE_DATA;
    if (mode & S_IXUSR) mask |= is_dir ? FILE_TRAVERSE : FILE_EXECUTE;
    return mask;
}

// 带POSIX权限的目录创建
BOOL create_dir_with_posix_mode(const wchar_t* path, mode_t mode) {
    // 省略SID获取、ACL初始化等前置步骤
    ACL* acl = /* 初始化后的ACL对象 */;
    PSID owner_sid = /* 当前用户SID */;
    PSID group_sid = /* 当前用户主组SID */;
    PSID everyone_sid = /* Everyone组SID */;

    // 添加所有者ACE
    DWORD owner_mask = posix_mode_to_win_mask(mode & S_IRWXU, TRUE);
    AddAccessAllowedAce(acl, ACL_REVISION, owner_mask, owner_sid);
    // 添加组ACE
    DWORD group_mask = posix_mode_to_win_mask(mode & S_IRWXG, TRUE);
    AddAccessAllowedAce(acl, ACL_REVISION, group_mask, group_sid);
    // 添加其他用户ACE
    DWORD other_mask = posix_mode_to_win_mask(mode & S_IRWXO, TRUE);
    AddAccessAllowedAce(acl, ACL_REVISION, other_mask, everyone_sid);

    // 构建安全描述符
    SECURITY_DESCRIPTOR sd;
    InitializeSecurityDescriptor(&sd, SECURITY_DESCRIPTOR_REVISION);
    SetSecurityDescriptorDacl(&sd, TRUE, acl, FALSE);

    SECURITY_ATTRIBUTES sa = {sizeof(SECURITY_ATTRIBUTES), &sd, FALSE};
    return CreateDirectoryExW(NULL, path, &sa);
}

3. open函数的权限处理 #

• 新建文件：调用CreateFile2时传入包含自定义ACL的SECURITY_ATTRIBUTES，权限映射逻辑与目录一致。
• 修改已有文件权限：使用SetNamedSecurityInfo更新文件的DACL，匹配POSIX mode参数。
• 只读属性补充：保留UCRT中SetFileAttributes处理READ_ONLY属性的逻辑，作为POSIX写权限禁用的补充，但核心权限仍通过ACL实现。

4. 兼容性注意事项 #

• Windows与POSIX权限模型存在本质差异，无法100%兼容（如setuid/setgid位、sticky位难以直接映射），优先实现核心读/写/执行权限即可。
• Win10+支持GetSecurityInfo和SetSecurityInfo的扩展功能，可更高效地处理ACL修改。
• 目录权限需设置继承标志，确保子文件/目录自动继承父目录权限。

内容的提问来源于stack exchange，提问作者Schrodinger ZHU