Windows下如何通过SYSTEM用户用Python subprocess.Popen启动Java服务

核心限制说明 #

Windows的安全模型有明确的权限边界：任何运行在普通用户、哪怕是管理员权限下的Python进程，都无法直接通过subprocess.Popen的常规参数，把子进程的安全上下文切换为SYSTEM。要实现SYSTEM身份启动，必须依托Windows原生的高权调度通道，没有可以绕开系统权限校验的正规捷径。
你当前写的subprocess.Popen("java -jar webService.jar", shell=True)逻辑，只会让Java进程完全继承Python进程的用户身份、权限令牌和工作目录——就算Python以管理员身份运行，得到的也只是带管理员权限的普通用户身份，和SYSTEM系统级身份有本质区别。

生产环境推荐实现（Windows服务托管） #

这是最符合系统设计规范的长驻服务启动方式，依托Windows服务控制管理器（SCM）的原生调度能力实现。SCM本身以SYSTEM身份运行，拉起的服务进程默认自动获得SYSTEM权限，还自带开机自启、异常状态托管的原生能力。

实现步骤 #

• 确认Java可执行文件、webService.jar的全量绝对路径，避免SYSTEM身份下路径解析失败
• 通过Python调用系统原生sc命令完成服务注册与启动，代码示例：

import subprocess

# 1. 注册SYSTEM身份的Windows服务（仅需执行一次）
reg_service_cmd = [
    "sc", "create", "SpringBootWebService",
    "binPath=", r"C:\Program Files\Java\jdk17\bin\java.exe -Xms512m -Xmx1024m -jar D:\services\webService.jar >> D:\logs\webService.log 2>&1",
    "start=", "auto",
    "obj=", "LocalSystem",
    "DisplayName=", "My Spring Boot Web Service",
    "description=", "由Python脚本调度启动的业务Web服务"
]
# 注册服务必须由管理员权限的Python进程执行，否则会触发权限拒绝
subprocess.run(reg_service_cmd, check=True, capture_output=True, text=True)

# 2. 触发SCM启动服务，Java进程会自动以SYSTEM身份运行
start_service_cmd = ["sc", "start", "SpringBootWebService"]
subprocess.run(start_service_cmd, check=True, capture_output=True, text=True)

注意事项 #

• 执行这段Python脚本必须以管理员身份运行，否则sc命令会因为权限不足执行失败
• 所有路径必须使用绝对路径，SYSTEM身份的默认工作目录是C:\Windows\System32，相对路径会直接导致程序启动失败
• 服务注册完成后，Java进程完全脱离当前Python会话，就算Python进程退出，服务也会持续在后台稳定运行

临时测试场景实现（PsExec调度） #

如果不需要持久化托管服务，只是临时需要以SYSTEM身份拉起Java进程做测试，可以使用微软官方Sysinternals套件提供的PsExec工具实现，无需注册持久化的Windows服务。

代码示例 #

import subprocess

# PsExec需要提前部署到服务器本地，-s参数指定以SYSTEM身份运行，-d参数表示启动后直接返回不阻塞
launch_cmd = [
    r"C:\tools\PSTools\PsExec.exe",
    "-s", "-d",
    r"C:\Program Files\Java\jdk17\bin\java.exe",
    "-jar", r"D:\services\webService.jar"
]
subprocess.Popen(launch_cmd, shell=False)

注意事项 #

• 同样需要以管理员身份运行Python进程，否则PsExec会触发权限校验失败
• 这种方式启动的进程没有托管能力，服务器重启后会自动消失，不适合生产环境长期运行

常见避坑点 #

• 不要尝试靠给Popen加提权参数、配合runas命令的方式直接切SYSTEM身份：Windows的安全令牌机制不允许非系统调度的进程跨权限身份创建子进程，这类操作最终一定会被系统的权限校验拦截
• 不要引入第三方提权类Python依赖：这类工具普遍存在杀软误报、二进制无签名的问题，完全不符合企业生产环境的合规要求
• 不要依赖环境变量或相对路径定位Java、jar包位置：SYSTEM身份加载的环境变量和普通用户完全隔离，且默认工作目录为C:\Windows\System32，写绝对路径是零踩坑的选择

内容的提问来源于stack exchange，提问作者kailashdesiti