在Windows AppContainer中运行.NET 6应用的路径权限问题

核心原因分析 #

C:\Program Files 是Windows系统默认的受保护应用安装目录，它的ACL（访问控制列表）中默认包含专为AppContainer沙箱设计的权限条目——ALL APPLICATION PACKAGES组会被自动授予读取/列出目录的权限，这就是应用在此路径下能正常运行的原因，完全契合UWP沙箱的隐式权限逻辑。

而自定义路径（非系统默认安装目录）的ACL默认不会包含这个特殊组的权限条目。当你尝试在这类路径下启动沙箱进程时，沙箱身份无法获取可执行文件的读取权限，就会抛出Failed to resolve full path of the current executable（错误码0x80008085）的异常。

至于只有拥有WRITE_DAC权限的账户能修复问题：因为WRITE_DAC权限允许用户修改目录的ACL，你才能手动给ALL APPLICATION PACKAGES或对应沙箱SID添加读取权限；仅拥有读/执行权限的账户没有修改ACL的权限，自然无法完成配置。

可行的解决方法 #

• 方法一：手动添加沙箱权限到目标目录
  若有WRITE_DAC权限，可按以下步骤操作：
  1. 右键目标应用文件夹 → 属性 → 安全 → 编辑 → 添加
  2. 在“选择用户或组”窗口点击“高级” → “立即查找”
  3. 找到并选择ALL APPLICATION PACKAGES组，点击确定
  4. 给该组授予“读取和执行”、“列出文件夹内容”、“读取”权限，保存设置
• 方法二：PowerShell批量配置权限
  执行以下命令（替换YourAppPath为实际应用路径）：

  icacls "YourAppPath" /grant "ALL APPLICATION PACKAGES":(OI)(CI)RX
  

  该命令会递归给目录及子文件/文件夹添加读取执行权限。
• 方法三：部署到系统默认受保护目录
  除C:\Program Files外，C:\Program Files (x86)也默认包含AppContainer权限条目，部署到这里可避免手动配置权限。

补充说明 #

CreateAppContainerProfile的公开文档确实零散，可通过以下渠道获取更多信息：

• 查看Windows SDK内置的CreateAppContainerProfile官方文档（可通过Visual Studio文档查看器访问）
• 使用icacls命令对比Program Files与自定义路径的ACL权限条目差异
• 查看Windows事件日志的“应用程序”或“安全”日志，其中可能包含更详细的权限拒绝记录，辅助定位问题

内容的提问来源于stack exchange，提问作者Tannin