C#如何编程授予程序自身Program Files目录访问控制权限

直接通过普通权限运行的C#代码修改Program Files目录权限、写入文件是无法实现的，这是Windows系统的强制安全机制，不存在无感知绕过的方法，但可以通过以下几种用户操作成本极低的合规方案实现自更新需求，全部可通过C#代码落地：

• 方案1：独立更新器+UAC提权（桌面软件行业通用标准方案）
  将自更新逻辑从主程序拆分到独立的updater.exe模块，给该模块添加应用程序清单，将执行级别配置为requireAdministrator。主程序检测到更新、需要替换exe时，直接通过Process.Start()启动更新器，传入当前主程序路径、新版本安装包路径作为参数即可。用户侧仅需要在系统弹出的标准UAC权限提示中点击确认，不需要手动做任何文件夹权限配置，操作门槛极低。更新器完成文件替换后自动拉起新版主程序即可。

• 方案2：安装阶段预配置目录权限（无UAC弹窗方案）
  程序安装过程本身就会请求管理员权限，可以在安装环节的自定义动作中，直接给当前应用在Program Files下的专属安装子目录，授予本地Users组的写入/修改权限，后续主程序以普通用户权限运行时，就可以直接修改目录内的exe文件完成自更新，不会再触发权限报错。
  C#实现权限配置的核心代码如下：

  using System.IO;
  using System.Security.AccessControl;
  using System.Security.Principal;
  
  // 你的应用在Program Files下的专属安装目录
  string appInstallPath = @"C:\Program Files\你的公司名\你的应用名";
  DirectoryInfo installDir = new DirectoryInfo(appInstallPath);
  DirectorySecurity dirSecurity = installDir.GetAccessControl();
  SecurityIdentifier usersSid = new SecurityIdentifier(WellKnownSidType.BuiltinUsersSid, null);
  // 配置继承规则，给所有普通用户授予目录修改、写入权限
  dirSecurity.AddAccessRule(new FileSystemAccessRule(
      usersSid,
      FileSystemRights.Modify | FileSystemRights.Write,
      InheritanceFlags.ContainerInherit | InheritanceFlags.ObjectInherit,
      PropagationFlags.None,
      AccessControlType.Allow
  ));
  installDir.SetAccessControl(dirSecurity);
  

• 方案3：规避Program Files目录写入（无权限改动方案）
  初始安装时仅将固定的引导程序放在Program Files目录，后续所有更新版本的exe、动态修改的配置文件全部存放到当前用户的%LOCALAPPDATA%\你的应用名目录下，该目录默认对当前登录用户开放完整读写权限，完全不需要修改系统权限配置、不需要触发UAC提示即可完成文件替换，引导程序启动时优先检测AppData下的新版本并加载即可，目前大量主流桌面应用都采用该方案实现无感知自更新。

注意：不要尝试通过漏洞、系统接口绕过Windows的目录权限校验实现写入，这类操作会被绝大多数安全软件判定为恶意行为，直接拦截甚至查杀，同时也违反Windows应用的开发安全规范。

如果需要搜索相关技术资料，可以使用以下关键词精准定位内容：C# 桌面程序自更新、C# 配置目录访问权限、C# 更新程序 UAC 提权、Windows 桌面应用自更新最佳实践

内容的提问来源于stack exchange，提问作者Caio Delgado Pires