使用CreateProcessAsUser在浏览器隐私窗口无法创建进程的问题求助

1. 验证SSO令牌的权限与类型差异 #

• 隐私窗口下浏览器可能限制SSO令牌权限，导致拿到受限令牌（Restricted Token），而普通窗口是完整主令牌。CreateProcessAsUser需要SE_ASSIGNPRIMARYTOKEN_NAME和SE_INCREASE_QUOTA_NAME权限，受限令牌会缺失这些权限。
• 代码中新增日志，用Advapi32.INSTANCE.GetTokenInformation获取令牌权限集合，对比普通/隐私窗口的令牌权限差异；同时验证tokenAccount.name是否与普通窗口一致，确认身份模拟是否正确。

2. 捕获CreateProcessAsUser的错误信息 #

• 当前代码未检查返回值和错误码，这是排查核心：调用后立即校验返回结果，获取Windows系统错误码（比如ERROR_PRIVILEGE_NOT_HELD、ERROR_ACCESS_DENIED等），代码修正如下：

  boolean processCreated = Advapi32.INSTANCE.CreateProcessAsUser(
      primaryToken.getValue(), 
      null,
      "\"" + batchFile + "\" " + workFlowId + " " + tokenAccount.name 
          + " >> " + fileName + " 2>&1", // 新增错误输出重定向，避免错误被静默吞掉
      null,
      null,
      false,
      WinNT.CREATE_NEW_CONSOLE | WinNT.CREATE_UNICODE_ENVIRONMENT, 
      environment,
      fileDirectory,
      startupInfo,
      processStartupInfo // 修正原代码拼写错误
  );
  if (!processCreated) {
      int errorCode = Kernel32.INSTANCE.GetLastError();
      // 日志记录错误码，可通过Winerror.h映射具体错误描述
      System.err.println("CreateProcessAsUser失败，错误码: " + errorCode);
  }
  

3. 检查环境变量与文件权限 #

• 隐私窗口下模拟用户的环境变量可能未正确加载，比如USERPROFILE、TEMP等路径不存在，导致进程启动失败。打印environment参数的内容，对比普通/隐私窗口的环境变量差异，确保关键路径有效。
• 验证batchFile、fileName、fileDirectory的NTFS权限：确保模拟用户对批处理文件有读权限，对日志文件和工作目录有写权限；路径含空格时必须用双引号包裹（如示例中修改的"\"" + batchFile + "\""），避免命令行解析错误。

4. 排查浏览器隐私模式的SSO限制 #

• Chrome等浏览器隐私模式会禁用第三方Cookie、限制NTLM/Kerberos身份传递，导致waffle获取的令牌权限不足或身份异常：
  • 检查waffle返回的WindowsIdentity是否为主令牌（而非模拟令牌），主令牌才能用于CreateProcessAsUser。
  • 确认浏览器隐私模式是否允许SSO：Chrome需在隐私模式下启用"允许使用Cookie和网站数据（即使在隐身模式下）"，否则SSO身份无法正常传递。

5. 验证Windows会话隔离问题 #

• 隐私窗口的浏览器进程可能运行在不同的Windows会话，导致模拟用户的进程无法跨会话创建：用GetTokenInformation获取令牌的会话ID，对比普通窗口的会话ID，确保两者一致；若会话不同，需调整startupInfo的lpDesktop参数为"winsta0\\default"，指定默认桌面会话。

内容的提问来源于stack exchange，提问作者Chandru