ASP.Net Core中切换用户运行Python脚本权限未生效的解决办法

你遇到的核心问题是**UseShellExecute = false时，ProcessStartInfo.Verb属性完全无效**，你设置的runasuser根本没起作用。虽然getpass.getuser()显示用户切换了，但实际进程的权限上下文可能因为配置错误，没有正确应用受限用户的权限限制。另外，当前代码的标准输出读取逻辑也可能导致死锁，影响结果判断。

具体修正步骤： #

• 移除无效的Verb设置：当UseShellExecute = false时，Verb属性不生效，直接删掉start.Verb = "runasuser"。
• 补充Domain配置：如果是本地用户，必须设置start.Domain = "."（代表本地机器）；如果是域用户，填写对应的域名，否则身份验证可能不完整。
• 修复输出读取逻辑：先等待进程执行完毕，再读取标准输出和错误，避免死锁。
• 验证真实权限上下文：在Python脚本里添加更准确的身份验证代码，比如执行os.system("whoami /all")，查看当前进程的完整身份和权限列表，而不是只依赖getpass.getuser()。

修正后的代码： #

public string ExecutePythonSnippet(string pythonSnippetFilePath, string pkgFilePath, string parameterString, string command = null)
{
    ProcessStartInfo start = new ProcessStartInfo();
    start.FileName = pythonPath;
    string argsString = $"\"{pythonSnippetFilePath}\"";
    argsString += $" \"{pkgFilePath}\"";
    argsString += $" \"{parameterString}\"";
    if (command != null)
        argsString += $" \"{command}\"";
    start.Arguments = argsString;
    
    if (!string.IsNullOrWhiteSpace(_username))
    {
        start.UserName = _username;
        start.Password = new NetworkCredential("", _password).SecurePassword;
        // 本地用户设置Domain为".", 域用户替换为实际域名
        start.Domain = ".";
    }
    
    start.UseShellExecute = false;
    start.CreateNoWindow = true;
    start.RedirectStandardOutput = true;
    start.RedirectStandardError = true;

    using (Process process = Process.Start(start))
    {
        // 异步读取避免死锁
        Task<string> stderrTask = process.StandardError.ReadToEndAsync();
        Task<string> stdoutTask = process.StandardOutput.ReadToEndAsync();
        
        // 等待进程执行完成
        process.WaitForExit();
        
        string stderr = stderrTask.Result;
        string result = stdoutTask.Result;

        if (!string.IsNullOrEmpty(stderr))
            throw new Exception($"Python脚本执行错误: {stderr}");
        
        return result;
    }
}

额外排查点： #

• 确认受限用户的NTFS权限设置正确：直接在文件管理器中给目标磁盘/文件夹设置该用户的拒绝访问权限，确保没有继承其他高权限。
• 检查IIS应用池的身份：虽然启动Python进程用了指定用户，但如果应用池用户有SeImpersonatePrivilege权限，可能会影响进程的权限上下文，可临时降低应用池用户权限测试。

内容的提问来源于stack exchange，提问作者user3077796