如何判断应用提权重启时将触发的UAC提示类型

最优方案：非提权应用自主判断（无需服务/AD支持） #

直接使用Windows原生API获取当前进程令牌的提升类型即可实现需求，无需任何额外权限，也不需要网络连接，完全匹配你的使用场景。

核心原理 #

Windows为每个进程的访问令牌提供了TokenElevationType信息，共有3种枚举值，刚好对应你要区分的两种场景：

• TokenElevationTypeLimited：当前用户属于管理员组，但当前运行的是UAC过滤后的低权限令牌。此时请求提权只会弹出是/否确认框，符合提权重启的条件。
• TokenElevationTypeDefault：当前用户为标准用户，或者UAC已完全关闭。此时请求提权会弹出凭证输入框，不适合提权，直接保持普通运行即可。
• TokenElevationTypeFull：当前进程已经处于提权状态，无需额外操作。

代码实现示例（C++） #

#include <windows.h>

bool IsElevationShowConsentOnly() {
    HANDLE hToken = NULL;
    if (!OpenProcessToken(GetCurrentProcess(), TOKEN_QUERY, &hToken)) {
        return false;
    }

    TOKEN_ELEVATION_TYPE elevationType;
    DWORD dwSize;
    bool result = false;
    if (GetTokenInformation(hToken, TokenElevationType, &elevationType, sizeof(elevationType), &dwSize)) {
        result = (elevationType == TokenElevationTypeLimited);
    }

    CloseHandle(hToken);
    return result;
}

调用IsElevationShowConsentOnly()如果返回true，就可以触发提权重启流程，否则直接以普通权限运行即可。你提到的Regedit.exe正是采用该逻辑实现的。

备用方案：借助SYSTEM服务判断 #

如果存在极端场景需要额外校验，可以让你的SYSTEM权限服务执行以下逻辑：

1. 普通应用将自身进程ID发送给服务
2. 服务打开对应进程的访问令牌，调用CheckTokenMembership检查内置管理员SID（S-1-5-32-544）是否存在于令牌的用户组列表中（忽略启用/禁用状态）
3. 存在则说明用户属于管理员组，提权仅需确认；不存在则为标准用户，提权需要输入凭证

注意事项 #

• 该逻辑完全不需要查询Active Directory、也不需要读取本地管理员组列表，不受离线场景、AD缓存凭证过期的影响
• 完全兼容所有开启UAC的Windows Vista及以上系统，覆盖所有常见UAC配置级别

内容的提问来源于stack exchange，提问作者Mike Sandells