Windows C++程序如何限制删除权限仅可操作自身创建的文件？

你可以自行封装SafeDeleteFileA、SafeRemoveDirectoryA替换原生系统API，所有删除操作统一走封装层，无需修改程序整体权限，完全在函数调用层面做限制。校验逻辑必须包含以下几步：

• 调用GetFullPathNameA将输入路径转为标准化绝对路径，自动处理相对路径、../跳转、软链接指向导致的路径逃逸问题
• 提前把程序允许操作的自有目录全路径存入白名单列表，校验待操作路径的前缀必须完全匹配白名单中的某条记录，否则直接返回权限错误
• 可额外增加创建者校验：程序创建自有文件时标记专属扩展属性，删除前校验属性存在才执行操作

示例封装代码参考：

#include <windows.h>
#include <vector>
#include <string>

// 提前初始化白名单：仅允许操作程序自身创建的工作目录
std::vector<std::string> g_allowed_operation_dirs = {
    "C:\\ProgramData\\YourAppName\\RuntimeData\\"
    // 可按需添加其他自有目录
};

BOOL SafeDeleteFileA(LPCSTR lpFileName) {
    // 步骤1：转换为标准化绝对路径
    char full_path[MAX_PATH] = {0};
    if (GetFullPathNameA(lpFileName, MAX_PATH, full_path, nullptr) == 0) {
        return FALSE;
    }

    // 步骤2：校验路径属于白名单范围
    BOOL is_allowed = FALSE;
    for (const auto& allowed_dir : g_allowed_operation_dirs) {
        if (strstr(full_path, allowed_dir.c_str()) == full_path) {
            is_allowed = TRUE;
            break;
        }
    }
    if (!is_allowed) {
        SetLastError(ERROR_ACCESS_DENIED);
        return FALSE;
    }

    // 步骤3：执行实际删除
    return DeleteFileA(full_path);
}

// RemoveDirectoryA的封装逻辑和上面完全一致，替换调用的API即可

程序首次创建自有目录时，直接给目录设置自定义DACL，仅当前程序运行身份对该目录下的文件拥有删除权限，其他目录默认仅保留读取权限。

• 可在创建文件时给文件添加专属安全描述符，删除前调用AccessCheck接口二次校验权限
• 该方案和路径封装配合使用，就算路径校验出现疏漏，系统层面也会拦截非自有文件的删除操作

如果对安全性要求极高，可以把删除操作单独拆分为独立子进程，用Windows低完整性级别（Low IL）启动子进程，仅给自有目录开放低权限进程的删除权限，其他目录子进程只有读取权限，就算子进程逻辑出错也不会影响系统其他文件。

• 路径解析阶段遇到包含../的相对路径可直接拒绝操作，从源头避免路径逃逸
• 调试阶段可先将实际删除逻辑替换为日志输出，确认所有删除路径符合预期后再开启实际删除
• 不要用管理员权限运行程序，默认用普通用户权限运行，天然无权限删除系统目录、其他用户目录，可大幅降低故障影响范围

内容的提问来源于stack exchange，提问作者Anne Quinn