WinUI3侧载打包应用创建命名管道失败，VS运行正常求排查

问题场景 #

在Visual Studio 2022调试WinUI3应用时，以下创建命名管道的代码可正常运行：

PipeSecurity ps = new PipeSecurity();

var sid = new SecurityIdentifier(WellKnownSidType.AuthenticatedUserSid, null);
var everyone = sid.Translate(typeof(NTAccount));

var sid1 = new SecurityIdentifier(WellKnownSidType.BuiltinAdministratorsSid, null);
var system = sid1.Translate(typeof(NTAccount));

ps.AddAccessRule(new PipeAccessRule(everyone, PipeAccessRights.ReadWrite, AccessControlType.Allow));            
ps.AddAccessRule(new PipeAccessRule(system, PipeAccessRights.FullControl, AccessControlType.Allow));            

using var server = NamedPipeServerStreamAcl.Create("pipenamehere", PipeDirection.InOut, 2, 
                PipeTransmissionMode.Byte, PipeOptions.None, 0, 0, ps);

但制作侧载包并安装运行后，抛出异常：

System.UnauthorizedAccessException: Access to the path is denied.
at System.IO.Pipes.NamedPipeServerStream.Create(String pipeName, PipeDirection direction, Int32 maxNumberOfServerInstances, PipeTransmissionMode transmissionMode, PipeOptions options, Int32 inBufferSize, Int32 outBufferSize, PipeSecurity pipeSecurity, HandleInheritability inheritability, PipeAccessRights additionalAccessRights)

尝试添加多种权限、设置应用完全信任、修改管道名称均无效。

核心原因 #

1. 沙箱隔离限制
   WinUI3侧载打包应用（MSIX格式）默认运行在Windows应用沙箱中，沙箱会严格限制应用对系统级资源的访问。调试模式下应用未被沙箱隔离，可正常创建全局命名管道；但打包后沙箱会拦截此类操作，导致权限拒绝。

2. 命名管道命名空间限制
   沙箱内应用无法直接使用全局命名空间的管道名称（如直接用"pipenamehere"），必须使用应用容器专用的命名空间。系统全局管道属于沙箱外资源，应用无权限创建或访问。

3. 权限配置失效
   调试模式下的用户权限（如AuthenticatedUser、Administrators）在沙箱环境中不生效，沙箱进程以受限的应用容器身份运行，常规权限规则无法覆盖沙箱的隔离策略。

解决方案 #

1. 使用应用容器专属管道名称 #

沙箱内应用需使用包含当前应用容器SID的管道路径，格式为：

\\.\pipe\<AppContainerSid>\pipenamehere

获取并使用该路径的代码示例：

using System.Security.Principal;

var currentIdentity = WindowsIdentity.GetCurrent();
var appContainerSid = currentIdentity.User?.Value;
if (!string.IsNullOrEmpty(appContainerSid))
{
    var pipeName = $"\\\\.\\pipe\\{appContainerSid}\\pipenamehere";
    using var server = NamedPipeServerStreamAcl.Create(pipeName, PipeDirection.InOut, 2, 
                    PipeTransmissionMode.Byte, PipeOptions.None, 0, 0, ps);
}

2. 配置跨进程访问扩展（可选） #

若需让沙箱外进程访问管道，需在Package.appxmanifest中添加命名管道扩展声明：

<Extensions>
  <uap:Extension Category="windows.pipe">
    <uap:Pipe Name="pipenamehere" />
  </uap:Extension>
</Extensions>

外部进程需通过应用包家族名称访问管道，格式为：

\\.\pipe\LOCAL\Packages\<PackageFamilyName>\AC\<PipeName>

可通过Package.Current.Id.FamilyName获取当前应用的PackageFamilyName。

3. 补充必要权限声明 #

确保Package.appxmanifest中添加了对应权限，比如完全信任权限（即使添加此权限，仍需遵循管道命名空间规则）：

<Capabilities>
  <rescap:Capability Name="runFullTrust" />
</Capabilities>

内容的提问来源于stack exchange，提问作者demonplus