命名管道客户端初始连接后返回ACCESS_DENIED（错误码5）异常

• 核心问题出在服务端的管道实例重建逻辑存在时间空窗，叠加安全描述符配置缺陷，最终触发ACCESS_DENIED错误：
  • 你的服务端实现采用“接一个连接→处理完→关闭旧管道实例→临时创建新的等待连接的管道实例”的循环逻辑，刚启动阶段4个线程会依次完成管道实例构造，全部进入WaitForConnection阻塞状态，因此前两个客户端请求能正常匹配到等待实例、完成连接。
  • 当连接被处理完成、旧管道实例被Close之后，到新的同名称管道实例构造完成、进入监听状态之前的毫秒级空窗期内，系统中不存在任何处于可连接状态的目标管道对象。这时候后续客户端发起的CreateFileW请求，会触发Windows命名管道驱动的特殊校验逻辑：由于目标管道名的安全描述符残留在内核内存中，驱动不会正常返回ERROR_FILE_NOT_FOUND或ERROR_PIPE_BUSY错误，而是直接复用残留的安全规则做访问校验——而你自定义的PipeSecurity仅添加了WorldSid的FullControl允许规则，没有匹配当前客户端访问令牌的有效权限项，最终直接返回ACCESS_DENIED而非预期的管道繁忙错误。
  • 多个线程反复在循环中重建同名称管道实例的过程中，还会导致残留安全描述符的持续刷新，进一步放大访问校验失败的概率。
• 附加的配置缺陷：
  • 你在NamedPipeServerStream构造时，将最大实例数参数设置为NamedPipeServerStream.MaxAllowedServerInstances，该值是系统允许的单管道名并发实例上限，并非实际配置的实例数；多个线程在循环中反复创建同名称实例时，很容易触发系统的实例计数校验异常，进一步加剧访问拒绝问题。
  • 每次循环都重新构造全新的PipeSecurity对象，没有复用固定的安全配置，会导致管道对象重建过程中安全描述符的临时不匹配，触发内核层的访问拦截。

• 调整服务端的管道创建顺序，消除连接空窗期：
  • 启动服务时，一次性按计划的并发数（等于处理器核心数）创建所有管道实例，每个实例绑定独立的后台工作线程，创建完成后立刻调用WaitForConnection()进入阻塞等待状态，不要等上一个连接处理完成再临时创建新实例。
  • 当某个监听实例接到客户端连接、完成业务处理关闭管道后，立刻在同一个工作线程中构造新的监听管道实例，确认新实例完成内核对象创建、进入等待状态后，再允许后续流程运行，全程保持系统中存在固定数量的可连接管道实例，避免出现无监听实例的空窗期。
• 修正管道安全配置：
  • 不要每次循环都重新创建PipeSecurity对象，在服务端启动时一次性构造好全局复用的安全规则：除了添加WorldSid的FullControl允许规则，还要给LocalSystem、当前服务进程所属的用户SID添加FullControl允许权限，显式移除所有继承的拒绝规则，避免安全描述符的临时缺失导致访问校验失败。
  • 构造NamedPipeServerStream时，将最大实例数参数设置为实际计划的并发实例数（测试环境为4），不要直接使用MaxAllowedServerInstances常量，避免触发系统的实例计数校验异常。
• 客户端的适配优化：
  • 当CreateFileW因为管道暂时不可用返回非预期错误时，增加短间隔的重试逻辑，符合Windows命名管道的客户端交互规范：遇到管道暂时繁忙的场景时，调用WaitNamedPipeW等待可用实例，而非直接抛出错误。

内容的提问来源于stack exchange，提问作者0xdeadbeef