.NET 6 Web API中WindowsIdentity.RunImpersonated异步Task权限问题

核心问题原因 #

你的异步Run(Task)方法失败的根本原因是：Windows身份模拟是线程绑定的，且你没有在模拟上下文内启动异步操作。

当前代码中，WindowsIdentity.RunImpersonatedAsync(safeAccessTokenHandle, () => task)只是返回了一个已经存在的Task对象，这个Task的执行（比如File.WriteAllBytesAsync的文件操作）可能已经在非模拟的线程池线程上启动，完全没有应用你的SafeAccessTokenHandle，自然会触发权限拒绝错误。

而同步方法能正常工作，是因为同步委托是直接在模拟上下文的线程内执行，所有操作都处于身份模拟的覆盖范围内。

选项分析与正确方案 #

针对你提出的三个选项：

1. 为该Task的请求创建新令牌而非使用字段？
   不需要。你的safeAccessTokenHandle本身是有效的，问题出在令牌的使用方式，而非令牌本身。重复创建令牌反而会增加不必要的开销和资源泄漏风险。

2. 在令牌所属线程执行Task？
   表述不准确，正确的做法是在模拟上下文内启动异步操作，而非绑定到某个固定线程。WindowsIdentity.RunImpersonatedAsync会通过ExecutionContext自动传递模拟身份，确保整个异步流程（包括await后的延续操作）都在模拟身份下执行。

3. 不使用Tasks（替换为同步方法）？
   这是一种可行但没必要的妥协。只要修正异步方法的实现，完全可以保留异步操作的优势。

修复后的异步Run方法 #

将异步Run方法的参数从Task改为Func<Task>，确保异步操作是在模拟上下文内启动的：

public async Task Run(Func<Task> taskFunc)
{
    await WindowsIdentity.RunImpersonatedAsync(safeAccessTokenHandle, taskFunc);
}

调用方式示例 #

调用时传入创建异步操作的委托，而非已启动的Task：

// 错误方式：传入已启动的Task
// await authorizedUser.Run(File.WriteAllBytesAsync(path, bytes));

// 正确方式：传入创建Task的委托
await authorizedUser.Run(() => File.WriteAllBytesAsync(path, bytes));

额外注意事项 #

• 确保LogonUser的登录类型参数（LOGON32_LOGON_INTERACTIVE）适合你的场景：如果是访问网络共享，LOGON32_LOGON_NETWORK或LOGON32_LOGON_NEW_CREDENTIALS可能更合适，但你的同步方法能正常工作，说明当前参数没问题。
• 始终确保AuthorizedUser类被正确Dispose，释放SafeAccessTokenHandle资源，避免内存泄漏。

内容的提问来源于stack exchange，提问作者Jannick Breunis