创建需高权限读写的只读文件遇权限问题求助

核心问题：混淆了「创建者身份」和「高权限身份」 #

你当前的权限规则是仅文件创建者拥有完全控制权限，其他所有本地用户（包括以管理员身份运行的账户，只要它不是创建者本人）只能读取。很多时候，你用「以管理员身份运行」启动PowerShell/Notepad++时，进程的身份是本地管理员组的成员，但如果这个管理员账户和创建文件的账户不是同一个（哪怕是同一个用户，高权限启动的令牌上下文也可能不匹配创建者SID），就只能触发GENERIC_READ权限，无法写入。

正确的权限配置方案 #

要实现「普通用户只读，高权限程序可读写」，你需要把权限分配给本地管理员组（BUILTIN\Administrators），而不是文件创建者：

• 删除原有的「创建者SID」权限项，添加BUILTIN\Administrators并分配GENERIC_ALL权限
• 保留BUILTIN\Users的GENERIC_READ权限
• 禁用权限继承，避免父目录的权限规则干扰当前文件

额外要检查的点 #

1. 文件所有者：确保文件的所有者是BUILTIN\Administrators，否则即使给了权限，所有者的权限优先级可能导致访问限制
2. 权限修改的权限：如果你的程序是先以普通权限创建文件再修改权限，需要确保进程拥有SeSecurityPrivilege权限（通常需要管理员身份才能获取）
3. 验证权限：用icacls命令确认权限配置正确：

   icacls your_target_file.txt
   

   正确输出应该包含：

   BUILTIN\Administrators:(F)
   BUILTIN\Users:(R)
   

内容的提问来源于stack exchange，提问作者Aykhan Hagverdili