如何通过CreateFile()完全锁定文件夹，阻止含复制粘贴的文件新建？

核心结论 #

可以通过CreateFile()结合特定参数限制文件夹访问，但它无法完全替代ACL的细粒度权限控制能力，需要配合补充机制才能解决复制粘贴的遗留问题。

1. 用CreateFile()实现基础访问限制 #

Windows允许通过CreateFile()打开文件夹（必须指定FILE_FLAG_BACKUP_SEMANTICS标志），通过设置独占访问模式可以阻止多数写入类操作：

• 核心参数配置：指定GENERIC_READ | GENERIC_WRITE作为访问权限，搭配FILE_SHARE_READ作为共享模式（禁止其他进程获取写入权限）。
• 示例代码片段：

HANDLE hFolder = CreateFile(
    L"C:\\YourTargetFolder",
    GENERIC_READ | GENERIC_WRITE,
    FILE_SHARE_READ,  // 仅允许其他进程读取共享，禁止写入
    NULL,
    OPEN_EXISTING,
    FILE_FLAG_BACKUP_SEMANTICS,
    NULL
);

• 你当前拖放被阻止的原因：资源管理器拖放操作需要获取文件夹的写入权限，而上述配置限制了写入共享，因此拖放无法执行；但复制粘贴（读取文件内容）属于读操作，受FILE_SHARE_READ允许，所以仍能进行。

2. 解决复制粘贴问题的补充方案 #

仅靠CreateFile()的共享模式无法阻止读取类的复制操作，可通过以下方式补充：

• 完全独占模式：将共享模式改为0，彻底禁止其他进程读取或写入文件夹。但副作用是资源管理器也无法打开该文件夹，仅适用于完全封闭的场景。
• API挂钩拦截：通过挂钩CopyFile()、ReadFile()等系统API，拦截针对目标文件夹的复制读取请求。此方式需要管理员权限，且需注意系统兼容性。
• 文件系统过滤驱动：通过底层驱动拦截文件访问请求，这是最彻底的方案，但开发复杂度高，需要驱动开发经验。

3. 安全层面的关键注意事项 #

• CreateFile()的独占锁是进程级的：一旦你的进程意外退出，锁会立即释放，权限限制失效，无法像ACL那样持久生效。
• 无法实现用户级权限区分：ACL可以针对特定用户/组设置权限，而CreateFile()的限制是全局的，无法区分不同用户的访问请求。
• 权限抢占风险：如果有高权限进程先于你的进程打开文件夹，你的CreateFile()调用会失败，需要确保进程启动优先级或运行权限足够高。

内容的提问来源于stack exchange，提问作者WayOfTheWright