如何在CMake+Wix生成的MSI中为Users组添加写入权限？

首先，你遇到的WORLD_WRITE不生效的核心原因是：在Windows环境下，CMake的WORLD权限对应的是Everyone用户组，但出于系统安全策略，Program Files目录默认会限制普通Users组的写入权限，且UAC虚拟化机制可能会导致权限设置看起来不生效；另外，CMake的标准权限参数无法直接针对Windows的Users组进行精确配置，需要借助Wix的自定义权限片段来实现。

下面是具体的解决方案：

方法1：通过自定义Wix片段指定Users组权限 #

步骤1：修改CMakeLists.txt，引入自定义Wix配置 #

在你的现有CMake代码中添加一行配置，告诉CPack Wix加载自定义的权限配置文件：

cmake_minimum_required(VERSION 3.14)
project(MyProject VERSION 1.0.0)

# 原有的安装指令
install(DIRECTORY images DESTINATION "." DIRECTORY_PERMISSIONS WORLD_READ WORLD_WRITE FILES_MATCHING PATTERN "*.png")
install(FILES file.json DESTINATION "." PERMISSIONS WORLD_READ WORLD_WRITE)

# 引入自定义Wix权限配置文件
set(CPACK_WIX_EXTRA_SOURCES "${CMAKE_CURRENT_SOURCE_DIR}/custom_permissions.wxs")

include(CPack)

步骤2：创建自定义Wix权限文件custom_permissions.wxs #

在项目根目录下创建这个文件，内容如下，明确为Users组分配写入、读取和执行权限：

<Wix xmlns="http://schemas.microsoft.com/wix/2006/wi">
  <Fragment>
    <!-- 为安装根目录（C:\Program Files\MyProject）设置Users组权限 -->
    <DirectoryRef Id="INSTALL_ROOT">
      <CreateFolder>
        <Permission User="Users" 
                    GenericRead="yes" 
                    GenericWrite="yes" 
                    GenericExecute="yes"
                    Synchronize="yes" />
      </CreateFolder>
    </DirectoryRef>

    <!-- 为images子目录单独设置权限（按需选择） -->
    <DirectoryRef Id="images">
      <CreateFolder>
        <Permission User="Users" 
                    GenericRead="yes" 
                    GenericWrite="yes" 
                    GenericExecute="yes"
                    Synchronize="yes" />
      </CreateFolder>
    </DirectoryRef>

    <!-- 为file.json文件单独设置权限（按需选择） -->
    <ComponentRef Id="file.json">
      <File Id="file.json" Name="file.json">
        <Permission User="Users" 
                    GenericRead="yes" 
                    GenericWrite="yes" />
      </File>
    </ComponentRef>
  </Fragment>
</Wix>

关键细节说明 #

• INSTALL_ROOT是Wix自动生成的安装根目录ID，对应你指定的C:\Program Files\MyProject；
• 如果你不确定images或file.json对应的Wix ID，可以查看CPack生成的临时Wix文件（通常在build/_CPack_Packages/windows/WIX目录下的.wxs文件）；
• GenericWrite="yes"会授予Users组写入/修改权限，搭配GenericRead和GenericExecute保证基本的读写执行权限，满足常规使用需求。

方法2：验证权限是否生效 #

安装完成后，你可以通过以下步骤确认权限设置成功：

• 右键点击C:\Program Files\MyProject，选择「属性」→「安全」标签；
• 在用户组列表中找到Users组，查看权限列表是否包含「写入」和「修改」权限；
• 注意：如果普通用户运行程序时写入操作仍异常，可能是UAC虚拟化导致的，可在程序属性→兼容性→设置中勾选「禁用文件和注册表虚拟化」解决。

另外，由于你的安装是由Windows Service执行的，确保Service运行在具有足够权限的账户下（通常Local System账户具备修改Program Files权限的能力），这样权限设置才能顺利应用。

内容的提问来源于stack exchange，提问作者Chris