NSIS中为Users组配置$APPDATA目录权限异常问题排查

问题描述 #

我查阅了大量相关文章但未解决问题。尝试为$APPDATA\MY_APP\conf目录添加权限时，发现同一命令在两台Windows 10机器（企业版和家庭版）上表现不同：Laptop1正常显示Users组权限，Laptop2则无Users组权限。手动添加该权限可正常工作，求问如何在NSIS中正确配置此权限？

原NSIS代码 #

SetShellVarContext all  
;Before Permission
nsExec::ExecToLog '"icacls" "$appDataDir\conf"'
Pop $0
AccessControl::GrantOnFile  "$appDataDir\conf" "(BU)" "FullAccess"
;After Permission
nsExec::ExecToLog '"icacls" "$appDataDir\conf"'
Pop $0

解决方案 #

• 使用SID替代组标识符：(BU)代表内置用户组，但Windows家庭版与企业版的组标识可能存在兼容性差异，改用Users组的通用SID S-1-5-32-545 可跨版本适配，修改后的代码如下：

SetShellVarContext all  
;Before Permission
nsExec::ExecToLog '"icacls" "$appDataDir\conf"'
Pop $0
; 使用Users组SID授予权限，兼容Windows各版本
AccessControl::GrantOnFile  "$appDataDir\conf" "S-1-5-32-545" "FullAccess"
;After Permission
nsExec::ExecToLog '"icacls" "$appDataDir\conf"'
Pop $0

• 直接调用icacls命令：既然手动添加权限有效，可直接在NSIS中调用icacls命令实现相同逻辑，避免插件的版本兼容问题：

SetShellVarContext all  
;Before Permission
nsExec::ExecToLog '"icacls" "$appDataDir\conf"'
Pop $0
; 调用icacls授予Users组完全控制权限，/T表示递归处理子项（按需移除）
nsExec::ExecToLog '"icacls" "$appDataDir\conf" /grant Users:F /T'
Pop $0
;After Permission
nsExec::ExecToLog '"icacls" "$appDataDir\conf"'
Pop $0

• 更新AccessControl插件：如果坚持使用插件，确保安装的是最新版本的AccessControl插件，旧版本可能对Windows家庭版的权限处理存在bug。

内容的提问来源于stack exchange，提问作者JDGuide