Windows服务通过WinForm传递用户令牌实现Windows身份认证问题

核心问题分析 #

你遇到的Invalid token for impersonation - it cannot be duplicated错误，根源在于直接传递WindowsIdentity.GetCurrent().Token得到的是模拟令牌而非主令牌，这类令牌无法跨进程复制用于模拟。WinForm应用的WindowsIdentity.Token默认是模拟令牌，不具备跨进程传递的权限。

正确实现步骤 #

1. 在WinForm端获取当前用户的主令牌 #

需要调用Windows API获取当前进程的主令牌，而非直接使用WindowsIdentity.Token。代码实现如下：

using System.Runtime.InteropServices;

public static class TokenHelper
{
    [DllImport("advapi32.dll", SetLastError = true)]
    private static extern bool OpenProcessToken(IntPtr ProcessHandle, uint DesiredAccess, out IntPtr TokenHandle);

    [DllImport("kernel32.dll", SetLastError = true)]
    private static extern IntPtr GetCurrentProcess();

    [DllImport("advapi32.dll", CharSet = CharSet.Auto, SetLastError = true)]
    private static extern bool DuplicateTokenEx(
        IntPtr hExistingToken,
        uint dwDesiredAccess,
        IntPtr lpTokenAttributes,
        int ImpersonationLevel,
        int TokenType,
        out IntPtr phNewToken);

    // 令牌权限常量
    private const uint TOKEN_QUERY = 0x0008;
    private const uint TOKEN_DUPLICATE = 0x0002;
    private const uint TOKEN_ASSIGN_PRIMARY = 0x0001;

    // 模拟级别
    private const int SecurityImpersonation = 2;
    // 令牌类型：主令牌
    private const int TokenPrimary = 1;

    public static IntPtr GetPrimaryUserToken()
    {
        if (!OpenProcessToken(GetCurrentProcess(), TOKEN_QUERY | TOKEN_DUPLICATE | TOKEN_ASSIGN_PRIMARY, out IntPtr hToken))
            throw new System.ComponentModel.Win32Exception();

        try
        {
            if (!DuplicateTokenEx(hToken, TOKEN_QUERY | TOKEN_DUPLICATE | TOKEN_ASSIGN_PRIMARY, IntPtr.Zero, SecurityImpersonation, TokenPrimary, out IntPtr hPrimaryToken))
                throw new System.ComponentModel.Win32Exception();

            return hPrimaryToken;
        }
        finally
        {
            if (hToken != IntPtr.Zero)
                CloseHandle(hToken);
        }
    }

    [DllImport("kernel32.dll", SetLastError = true)]
    private static extern bool CloseHandle(IntPtr hObject);
}

在WinForm的管道通信代码中，调用该方法获取主令牌并传递：

var primaryToken = TokenHelper.GetPrimaryUserToken();
await writer.WriteLineAsync(primaryToken.ToString());
// 注意：传递后无需手动关闭令牌，服务端接收后需负责释放

2. 在Windows服务端接收并使用令牌 #

服务端接收令牌后，包装成SafeAccessTokenHandle，再通过WindowsIdentity.RunImpersonatedAsync执行API调用，同时确保令牌正确释放：

if (IntPtr.TryParse(TOKEN_FROM_WINFORM_APPLICATION, out var winAuthToken))
{
    using var safeTokenHandle = new SafeAccessTokenHandle(winAuthToken);
    return await WindowsIdentity.RunImpersonatedAsync(safeTokenHandle, async () =>
    {
        using var client = new HttpClient(new HttpClientHandler
        {
            UseDefaultCredentials = true
        });

        var content = new StringContent(body, Encoding.UTF8, "application/json");
        var url = $"{baseUrl}{endpoint}?{query}";

        var response = requestMethod switch
        {
            RequestMethod.Get => await client.GetAsync(url),
            RequestMethod.Post => await client.PostAsync(url, content),
            _ => throw new ArgumentOutOfRangeException(nameof(requestMethod), requestMethod, null)
        };

        return await response.Content.ReadAsStringAsync();
    });
}
else
{
    throw new InvalidOperationException("无法解析WinForm传递的令牌");
}

3. 权限配置注意事项 #

• Windows服务需要开启允许与桌面交互权限：在服务属性的「登录」选项卡勾选「允许服务与桌面交互」，否则无法获取用户会话的令牌。
• WinForm应用必须运行在当前登录用户的会话中，不能以系统账户运行。
• 确保服务账户拥有SeImpersonatePrivilege权限（默认本地系统账户具备此权限）。

之前方案失败的原因 #

• WindowsIdentity.GetCurrent().Token返回的是模拟令牌，仅能在当前进程内使用，无法跨进程复制。
• 直接调用DuplicateToken而非DuplicateTokenEx，无法指定生成主令牌，而模拟令牌不支持跨进程模拟。

内容的提问来源于stack exchange，提问作者Julian