Web应用中如何基于指定Windows用户权限高效过滤网络驱动器目录树？

核心思路 #

放弃逐个尝试访问文件夹的低效方式（IO+权限检查开销大），直接读取文件夹的ACL（访问控制列表），结合指定用户名对应的身份标识（SID），判断用户是否拥有至少读取/遍历权限。这种方式无需实际访问文件夹，能大幅提升目录树构建效率。

具体实现步骤 #

1. 通过用户名获取用户SID #

Windows ACL基于用户SID存储权限，而非明文用户名，所以第一步要把用户名转换成对应的SID：

using System.DirectoryServices.AccountManagement;

public SecurityIdentifier GetUserSid(string username)
{
    // 根据实际环境调整ContextType，比如本地用户用ContextType.Machine
    using (var context = new PrincipalContext(ContextType.Domain))
    using (var user = UserPrincipal.FindByIdentity(context, IdentityType.SamAccountName, username))
    {
        return user?.Sid;
    }
}

2. 检查文件夹ACL权限 #

读取目标文件夹的ACL规则，匹配用户及所属组的权限，判断是否允许读取/遍历：

using System.Security.AccessControl;
using System.Security.Principal;

public bool UserHasAccess(string folderPath, SecurityIdentifier userSid)
{
    var dirSecurity = Directory.GetAccessControl(folderPath);
    // 获取所有显式+继承的权限规则
    var accessRules = dirSecurity.GetAccessRules(true, true, typeof(SecurityIdentifier));

    // 先检查用户自身的允许权限
    foreach (FileSystemAccessRule rule in accessRules)
    {
        if (rule.IdentityReference.Equals(userSid) && 
            (rule.FileSystemRights & (FileSystemRights.Read | FileSystemRights.Traverse)) != 0 &&
            rule.AccessControlType == AccessControlType.Allow)
        {
            return true;
        }
    }

    // 再检查用户所属组的允许权限
    var userGroups = new List<SecurityIdentifier>();
    using (var identity = new WindowsIdentity(userSid.Value))
    {
        userGroups.AddRange(identity.Groups.Select(g => (SecurityIdentifier)g.Translate(typeof(SecurityIdentifier))));
    }
    foreach (var groupSid in userGroups)
    {
        foreach (FileSystemAccessRule rule in accessRules)
        {
            if (rule.IdentityReference.Equals(groupSid) && 
                (rule.FileSystemRights & (FileSystemRights.Read | FileSystemRights.Traverse)) != 0 &&
                rule.AccessControlType == AccessControlType.Allow)
            {
                return true;
            }
        }
    }

    // 检查是否存在拒绝权限（拒绝优先于允许）
    foreach (FileSystemAccessRule rule in accessRules)
    {
        if ((rule.IdentityReference.Equals(userSid) || userGroups.Contains((SecurityIdentifier)rule.IdentityReference)) &&
            rule.AccessControlType == AccessControlType.Deny)
        {
            return false;
        }
    }

    return false;
}

3. 改造递归遍历逻辑 #

在遍历目录树时，先通过权限检查判断是否包含当前文件夹，再递归处理子目录：

// 示例：假设HtmlTreeBuilder是你用于构建HTML目录树的自定义类
public void BuildUserAccessibleTree(string rootPath, SecurityIdentifier userSid, HtmlTreeBuilder treeBuilder)
{
    if (!UserHasAccess(rootPath, userSid))
    {
        return;
    }
    // 将当前文件夹添加到HTML树
    treeBuilder.AddFolder(Path.GetFileName(rootPath), rootPath);
    // 枚举子文件夹并递归处理
    foreach (var subFolder in Directory.GetDirectories(rootPath))
    {
        BuildUserAccessibleTree(subFolder, userSid, treeBuilder);
    }
}

关键优化与注意事项 #

• 缓存权限结果：对已检查过的文件夹权限进行缓存，避免重复读取ACL，进一步提升遍历速度。
• 异步遍历：针对大型目录树，改用异步方法（如Directory.GetDirectoriesAsync）避免阻塞Web请求。
• 域环境适配：如果用户属于外部域，需在PrincipalContext中指定目标域名或LDAP路径。
• 权限继承处理：代码中已通过GetAccessRules的参数包含了继承的权限规则，无需额外处理。

内容的提问来源于stack exchange，提问作者Jammy