ASP.NET Core 6.0 Web API切换账户启动程序失败求助

问题分析 #

错误0xc0000142本质是进程启动时无法正确加载依赖库，或账户上下文缺失必要的环境变量、会话权限。你的场景里，本地应用池账户切换到域账户启动进程时，没有初始化完整的运行环境；但直接用域账户跑应用池时，环境是现成的，所以能正常执行。

代码层面修复方案 #

1. 完善进程启动参数，补全环境变量与工作目录 #

默认的ProcessStartInfo切换账户时不会自动继承当前进程的环境变量，必须手动指定关键变量，同时把工作目录锁定到EXE所在路径：

public async Task<IActionResult> WithContextSwitchingTest()
{
    var exePath = @"C:\Tools\HelloWorld.exe";
    var domain = "你的域名称";
    var username = "domain-account-with-different-access";
    var password = "域账户密码";

    var psi = new ProcessStartInfo(exePath)
    {
        WorkingDirectory = Path.GetDirectoryName(exePath),
        RedirectStandardOutput = true,
        RedirectStandardError = true,
        UseShellExecute = false,
        CreateNoWindow = true,
        Domain = domain,
        UserName = username,
        Password = ConvertToSecureString(password),
        // 复制当前进程的环境变量，避免缺失系统库路径
        EnvironmentVariables = new Dictionary<string, string>(Environment.GetEnvironmentVariables())
    };

    using var process = Process.Start(psi);
    await process.WaitForExitAsync();
    var output = await process.StandardOutput.ReadToEndAsync();
    var error = await process.StandardError.ReadToEndAsync();

    return Ok(new { Output = output, Error = error });
}

private SecureString ConvertToSecureString(string password)
{
    var secureString = new SecureString();
    foreach (char c in password)
    {
        secureString.AppendChar(c);
    }
    secureString.MakeReadOnly();
    return secureString;
}

2. 调用Windows API创建带会话的进程（针对依赖桌面资源的场景） #

如果后续你的EXE需要桌面会话资源，可调用CreateProcessAsUserAPI，确保进程在正确会话启动。注意：

• 应用池账户需拥有SeIncreaseQuotaPrivilege和SeAssignPrimaryTokenPrivilege权限
• 要通过WTSGetActiveConsoleSessionId获取当前活跃会话ID

安全配置建议 #

1. 给应用池账户分配必要权限 #

打开本地安全策略，给local-system-web-account添加以下用户权限：

• 替换进程级令牌（SeAssignPrimaryTokenPrivilege）
• 调整进程内存配额（SeIncreaseQuotaPrivilege）
• 作为批处理作业登录（SeBatchLogonRight）

同时验证域账户domain-account-with-different-access对C:\Tools的权限：除了读/执行，还要确保有列出文件夹内容和读取属性的权限。

2. 调整IIS应用池设置 #

• 在IIS管理器中找到目标应用池，进入「高级设置」→「进程模型」，把「加载用户配置文件」设为True
• 针对Windows Server 2008 R2（对应IIS7），要确保应用池账户能访问自身的用户配置文件目录（通常是C:\Users\<账户名>）

3. 检查EXE依赖项 #

用命令dumpbin /dependents HelloWorld.exe检查EXE依赖的系统库，确认域账户和本地账户都能访问这些库（一般系统库如kernel32.dll没问题，自定义库需单独配置权限）

测试步骤 #

1. 给应用池账户分配权限后重启IIS
2. 运行修改后的WithContextSwitchingTest接口，查看输出结果
3. 若仍失败，用Process Monitor跟踪HelloWorld.exe的启动过程，排查是否有文件/注册表访问被拒绝的情况

内容的提问来源于stack exchange，提问作者Josh