调用OpenEncryptedFileRaw函数时遇Access Denied错误求助

核心问题分析 #

你遇到的Access Denied错误，即使确认拥有SeBackupPrivilege且以管理员运行，大概率是权限未主动启用，或是参数、路径配置存在疏漏，以下是具体排查和修复方案：

1. 必须主动启用SeBackupPrivilege #

Process Explorer显示进程拥有权限，不代表该权限处于启用状态——Windows权限默认是禁用的，需通过代码手动启用：

#include <windows.h>
#include <tchar.h>

BOOL EnablePrivilege(LPCTSTR lpszPrivilege)
{
    HANDLE hToken;
    TOKEN_PRIVILEGES tp;
    LUID luid;

    if (!OpenProcessToken(GetCurrentProcess(), TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY, &hToken))
        return FALSE;

    if (!LookupPrivilegeValue(NULL, lpszPrivilege, &luid))
    {
        CloseHandle(hToken);
        return FALSE;
    }

    tp.PrivilegeCount = 1;
    tp.Privileges[0].Luid = luid;
    tp.Privileges[0].Attributes = SE_PRIVILEGE_ENABLED;

    if (!AdjustTokenPrivileges(hToken, FALSE, &tp, sizeof(TOKEN_PRIVILEGES), NULL, NULL))
    {
        CloseHandle(hToken);
        return FALSE;
    }

    CloseHandle(hToken);
    return (GetLastError() == ERROR_SUCCESS);
}

// 在调用OpenEncryptedFileRaw前执行
EnablePrivilege(SE_BACKUP_NAME);

2. 修正OpenEncryptedFileRaw的参数 #

第二个参数dwFlags传入0可能不符合权限校验逻辑，需指定与SeBackupPrivilege匹配的CREATE_FOR_BACKUP_RESTORE标志：

PVOID context;
DWORD ret = OpenEncryptedFileRaw(fileName, CREATE_FOR_BACKUP_RESTORE, &context);

该标志会让系统使用备份/恢复权限模型进行校验，匹配SeBackupPrivilege的使用场景。

3. 排查文件路径与父目录权限 #

• 路径格式：确保使用Unicode路径（调用OpenEncryptedFileRawW而非ANSI版本），路径中无非法字符，且为绝对路径；
• 父目录权限：即使文件不存在，系统仍会检查程序对父目录的访问权限——如果父目录禁止当前进程访问，也会返回Access Denied，需确认父目录的权限设置。

4. 排除UAC与文件系统重定向 #

• 若为32位程序运行在64位系统，需禁用文件系统重定向（调用Wow64DisableWow64FsRedirection），避免路径被重定向到SysWOW64等特殊目录；
• 确认程序确实以管理员身份运行（右键选择“以管理员身份运行”，而非仅用户属于管理员组）。

内容的提问来源于stack exchange，提问作者Vinanth S Bharadwaj