Windows下Zig检测管理员权限及创建符号链接相关疑问

Zig标准库没有提供直接检测管理员身份的API，但可以通过调用Windows原生Win32 API实现，核心是使用CheckTokenMembership函数检查当前进程令牌是否属于管理员组。以下是实现示例：

const std = @import("std");
const windows = std.os.windows;

/// 判断当前进程是否以管理员身份运行
fn isAdmin() !bool {
    var token: windows.HANDLE = undefined;
    if (windows.OpenProcessToken(windows.GetCurrentProcess(), windows.TOKEN_QUERY, &token) == 0) {
        return error.OpenProcessTokenFailed;
    }
    defer windows.CloseHandle(token);

    var admin_sid: windows.PSID = undefined;
    var sid_size: windows.DWORD = 0;

    // 先获取所需的SID内存大小
    if (windows.CreateWellKnownSid(windows.WinBuiltinAdministratorsSid, null, &admin_sid, &sid_size) == 0) {
        if (windows.GetLastError() != windows.ERROR_INSUFFICIENT_BUFFER) {
            return error.CreateWellKnownSidFailed;
        }
        // 分配内存存储管理员组SID
        const allocator = std.heap.page_allocator;
        admin_sid = @ptrCast(try allocator.alloc(u8, sid_size));
        defer allocator.free(@as([]u8, @ptrCast(admin_sid)));

        if (windows.CreateWellKnownSid(windows.WinBuiltinAdministratorsSid, null, admin_sid, &sid_size) == 0) {
            return error.CreateWellKnownSidFailed;
        }
    }

    var is_member: windows.BOOL = undefined;
    if (windows.CheckTokenMembership(token, admin_sid, &is_member) == 0) {
        return error.CheckTokenMembershipFailed;
    }

    return is_member != 0;
}

虽然管理员权限通常是Windows下创建符号链接的前提，但仅靠管理员身份检测并不完全可靠，需要注意以下几点：

• 开发者模式的特殊情况：Windows 10 1709及更高版本中，开启开发者模式后，普通用户账户无需管理员权限即可创建符号链接。此时仅检测管理员会误判，导致程序错误地拒绝合法操作。
• 直接尝试创建更准确：权限检测存在边缘场景（比如用户被授予单独的创建符号链接权限但并非管理员），最可靠的方式是直接尝试创建符号链接，根据错误码判断：
  • 若返回ERROR_PRIVILEGE_NOT_HELD（错误码1314），则说明缺少必要权限；
  • 其他错误（如路径不存在、目标已存在）则属于逻辑问题，而非权限问题。
• 权限状态的动态变化：进程运行过程中权限可能被调整，提前的管理员身份检测结果可能与实际操作时的权限状态不符，直接执行创建操作能避免这种偏差。
• 符号链接类型的权限差异：硬链接无需特殊权限，但软链接（符号链接）和目录联结（junction）在非开发者模式下均需管理员权限，检测时需明确区分操作类型。

内容的提问来源于stack exchange，提问作者P.T.