Windows中为其他用户授予文件/文件夹所有权失败的技术问询

我之前也碰到过一模一样的坑，折腾了好几天才搞明白！这个问题根本不是代码写错了，而是Windows的安全权限模型在搞事情——默认情况下，哪怕你是管理员进程，也没有权限把文件/文件夹的所有权直接转让给其他用户，必须先启用两个关键的系统特权才行。

问题根源 #

Windows要求进程必须拥有 SeTakeOwnershipPrivilege（获取所有权权限）和 SeRestorePrivilege（还原权限），才能修改对象的所有权为其他用户。这两个特权默认是禁用状态，哪怕你用管理员身份运行程序也一样，所以直接调用SetOwner()就会报错。

解决方案步骤 #

1. 编写辅助函数启用这两个系统特权（需要调用Windows原生API）
2. 在修改所有权之前启用特权，操作完成后可以选择禁用（可选，但更安全）

完整代码示例 #

首先，添加一个处理特权的辅助类：

using System;
using System.Runtime.InteropServices;
using System.Security.Principal;

public static class PrivilegeHelper
{
    [DllImport("advapi32.dll", SetLastError = true)]
    private static extern bool AdjustTokenPrivileges(IntPtr tokenHandle, bool disableAllPrivileges, ref TOKEN_PRIVILEGES newState, int bufferLength, IntPtr previousState, IntPtr returnLength);

    [DllImport("advapi32.dll", SetLastError = true)]
    private static extern bool OpenProcessToken(IntPtr processHandle, uint desiredAccess, out IntPtr tokenHandle);

    [DllImport("kernel32.dll", SetLastError = true)]
    private static extern IntPtr GetCurrentProcess();

    [DllImport("advapi32.dll", SetLastError = true)]
    private static extern bool LookupPrivilegeValue(string lpSystemName, string lpName, out LUID lpLuid);

    private const uint TOKEN_ADJUST_PRIVILEGES = 0x0020;
    private const uint TOKEN_QUERY = 0x0008;
    private const int SE_PRIVILEGE_ENABLED = 0x00000002;

    [StructLayout(LayoutKind.Sequential)]
    private struct LUID
    {
        public uint LowPart;
        public int HighPart;
    }

    [StructLayout(LayoutKind.Sequential)]
    private struct TOKEN_PRIVILEGES
    {
        public int PrivilegeCount;
        public LUID Luid;
        public int Attributes;
    }

    public static bool EnablePrivilege(string privilegeName)
    {
        if (!LookupPrivilegeValue(null, privilegeName, out LUID luid))
            return false;

        if (!OpenProcessToken(GetCurrentProcess(), TOKEN_ADJUST_PRIVILEGES | TOKEN_QUERY, out IntPtr tokenHandle))
            return false;

        TOKEN_PRIVILEGES tp = new TOKEN_PRIVILEGES
        {
            PrivilegeCount = 1,
            Luid = luid,
            Attributes = SE_PRIVILEGE_ENABLED
        };

        bool result = AdjustTokenPrivileges(tokenHandle, false, ref tp, 0, IntPtr.Zero, IntPtr.Zero);
        Marshal.Close(tokenHandle);
        return result;
    }
}

然后修改你原来的代码，添加特权启用步骤：

// 先启用必要的特权
PrivilegeHelper.EnablePrivilege("SeTakeOwnershipPrivilege");
PrivilegeHelper.EnablePrivilege("SeRestorePrivilege");

// 你的原有代码
DirectoryInfo dInfo = Directory.CreateDirectory(folderPath);
IdentityReference user = new NTAccount(username);

// 这里可以先验证用户是否有效，避免无效账户导致的错误
try
{
    user.Translate(typeof(SecurityIdentifier));
}
catch (IdentityNotMappedException ex)
{
    Console.WriteLine($"无效的用户账户: {ex.Message}");
    return;
}

DirectorySecurity dSecurity = dInfo.GetAccessControl();
dSecurity.SetOwner(user);
dInfo.SetAccessControl(dSecurity);

// 可选：操作完成后禁用特权（如果需要的话）
// 注：进程退出后特权会自动失效，也可以不用手动处理

关键注意事项 #

• 必须以管理员身份运行程序：启用这些系统特权需要管理员权限，普通用户身份根本无法操作。
• 验证目标用户有效性：确保username是正确的本地用户或域用户格式（比如DOMAIN\Username或LocalMachine\Username），否则Translate会抛出异常。
• 特权自动失效：进程退出后，启用的特权会自动失效，不需要手动清理也没关系。

内容的提问来源于stack exchange，提问作者Pieter