使用NamedPipe实现Windows服务与应用通信遇UnauthorizedAccessException求助

问题根源 #

你遇到的UnauthorizedAccessException本质是：创建命名管道时未指定自定义安全配置，系统会基于服务进程的账户（通常是LocalSystem）生成默认DACL，默认权限会限制普通用户访问。事后调用SetAccessControl无法覆盖已生效的默认权限，导致权限设置无效。

正确解决方案 #

1. 构造管道时直接传入安全配置（.NET 8支持） #

.NET 8提供了支持直接传入PipeSecurity的NamedPipeServerStream构造函数，创建管道时就应用自定义权限，这是最可靠的方式：

var ps = new PipeSecurity();
// 添加允许所有认证用户读写的权限规则
ps.AddAccessRule(new PipeAccessRule(
    new SecurityIdentifier(WellKnownSidType.AuthenticatedUserSid, null),
    PipeAccessRights.ReadWrite,
    AccessControlType.Allow));

// 创建管道时传入安全配置
var serverPipe = new NamedPipeServerStream(
    NamedPipeHelper.PipeName,
    PipeDirection.InOut,
    1,
    PipeTransmissionMode.Message,
    PipeOptions.None,
    0,
    0,
    ps); // 关键：此处传入预配置的PipeSecurity

await serverPipe.WaitForConnectionAsync(ct);

2. 适配LocalSystem服务的权限规则 #

如果服务运行在LocalSystem账户下，推荐使用BuiltinUsersSid（内置用户组）替代WorldSid，避免权限范围过大或不生效：

ps.AddAccessRule(new PipeAccessRule(
    new SecurityIdentifier(WellKnownSidType.BuiltinUsersSid, null),
    PipeAccessRights.ReadWrite,
    AccessControlType.Allow));

3. 验证管道权限 #

可以用Sysinternals的AccessChk工具验证管道权限是否正确配置：

accesschk.exe \.\pipe\[你的管道名称]

检查输出中是否包含目标用户/组的Read/Write权限。

常见误区 #

• 避免在管道创建完成后调用SetAccessControl：管道初始化时已应用默认权限，事后修改无法对已存在的管道实例生效
• 不要滥用Everyone权限：该权限包含匿名用户，存在安全风险，且在LocalSystem上下文下可能无法正确覆盖普通用户的访问限制

内容的提问来源于stack exchange，提问作者Marco