Windows AD账号下C#程序如何获取仅属当前用户安全上下文的专属属性？

在Windows AD账号（如UserA）运行的C#应用中，要获取仅当前用户安全上下文可访问的信息，替代SID这类易被读取的属性，可采用以下几种高安全性方案：

1. 利用Windows访问令牌（AccessToken） #

访问令牌是Windows安全上下文的核心凭证，仅当前进程在UserA的上下文下时，才能获取到有效、未过期的令牌句柄，其他用户无法窃取或复用该令牌。

代码示例：

WindowsIdentity currentUser = WindowsIdentity.GetCurrent();
// 获取当前用户的令牌句柄，仅当前上下文持有有效实例
IntPtr tokenHandle = currentUser.Token;

// 可通过Win32 API获取令牌唯一ID（需添加P/Invoke声明）
TokenInformationClass tokenInfoClass = TokenInformationClass.TokenId;
uint returnLength;
IntPtr tokenIdPtr = IntPtr.Zero;
GetTokenInformation(tokenHandle, tokenInfoClass, tokenIdPtr, 0, out returnLength);
tokenIdPtr = Marshal.AllocHGlobal((int)returnLength);
GetTokenInformation(tokenHandle, tokenInfoClass, tokenIdPtr, returnLength, out returnLength);
uint tokenId = Marshal.ReadUInt32(tokenIdPtr);
Marshal.FreeHGlobal(tokenIdPtr);

注：GetTokenInformation是Win32 API，需自行添加P/Invoke声明。令牌ID是会话内唯一的标识，仅当前上下文能获取到对应的值。

2. 使用DPAPI加密专属数据 #

Windows数据保护API（DPAPI）的CurrentUser范围，可生成仅当前用户能解密的数据。你可以加密一段固定标识，只有在UserA的上下文下才能解密成功，以此验证当前身份的唯一性。

代码示例：

using System.Security.Cryptography;

// 生成仅UserA可解密的专属标识
byte[] secretData = System.Text.Encoding.UTF8.GetBytes("UserA_Secure_Unique_Key");
// 加密：仅当前用户上下文可解密
byte[] encrypted = ProtectedData.Protect(secretData, null, DataProtectionScope.CurrentUser);

// 解密：仅在UserA上下文下能成功还原
byte[] decrypted = ProtectedData.Unprotect(encrypted, null, DataProtectionScope.CurrentUser);
string secureId = System.Text.Encoding.UTF8.GetString(decrypted);

这种方式的安全性依赖于Windows的用户密钥管理，其他用户（包括管理员）无法解密该数据，除非获取到UserA的登录会话。

3. 读写用户专属注册表项 #

HKEY_CURRENT_USER是与当前登录用户绑定的注册表 hive，默认仅当前用户拥有读写权限，其他用户无法访问该路径下的内容。你可以在该路径下存储专属标识，以此作为仅当前上下文可访问的信息。

代码示例：

using Microsoft.Win32;

// 写入UserA专属标识
string regPath = @"Software\YourApp\UserSecurityContext";
using (RegistryKey key = Registry.CurrentUser.CreateSubKey(regPath))
{
    key.SetValue("SecureContextId", Guid.NewGuid().ToString("N"));
}

// 读取专属标识：仅UserA上下文能访问
using (RegistryKey key = Registry.CurrentUser.OpenSubKey(regPath))
{
    if (key != null)
    {
        string contextId = key.GetValue("SecureContextId")?.ToString();
        // 验证该标识的有效性
    }
}

默认权限下，其他AD用户无法访问UserA的HKEY_CURRENT_USER hive，因此这里存储的信息具备较高的安全性。

这些方案的核心是依赖Windows安全模型中当前用户专属的资源或凭证，这类资源无法被普通AD用户（即使拥有AD读取权限）随意获取，只有在目标用户的安全上下文下才能访问，满足高安全性验证需求。

内容的提问来源于stack exchange，提问作者Marc Alves