Delphi开发的管理员权限安装程序如何以登录用户权限启动低权限进程

刚好之前处理过类似的需求，给你几个靠谱的解决方案：

这是最不需要修改代码的方式，适合直接在安装程序的收尾脚本里调用。核心思路是创建一个以当前登录用户有限权限运行的一次性任务，执行目标程序后立即删除任务。

具体命令如下（可以直接在cmd里测试，或者在Delphi里用ShellExecute或CreateProcess执行）：

:: 创建临时任务，指定用当前用户的有限权限运行目标程序
schtasks /create /tn "TempLowPrivRun" /tr "C:\Full\Path\To\Your\TargetApp.exe" /sc once /st 00:00 /ru "%USERNAME%" /rl limited /f

:: 立即执行这个临时任务
schtasks /run /tn "TempLowPrivRun"

:: 执行完成后删除临时任务
schtasks /delete /tn "TempLowPrivRun" /f

参数说明：

• /rl limited：明确指定任务以有限权限运行
• /ru "%USERNAME%"：使用当前登录的用户账户，不需要手动输入密码
• /f：强制覆盖已存在的同名任务（避免冲突）

如果你的目标程序本身不需要管理员权限，给它添加一个Manifest文件，明确指定它不需要提升权限。不过要注意：单独加Manifest不足以让管理员进程启动的子进程变成低权限，它只是避免程序自动请求提升权限，需要配合其他方法（比如方案3）一起使用。

Manifest文件内容示例（保存为TargetApp.exe.manifest，和程序放在同一目录，或者嵌入到程序资源里）：

<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<assembly xmlns="urn:schemas-microsoft-com:asm.v1" manifestVersion="1.0">
  <trustInfo xmlns="urn:schemas-microsoft-com:asm.v3">
    <security>
      <requestedPrivileges>
        <!-- 指定使用调用者的权限级别，不自动提升 -->
        <requestedExecutionLevel level="asInvoker" uiAccess="false"/>
      </requestedPrivileges>
    </security>
  </trustInfo>
</assembly>

如果是Delphi开发的目标程序，可以直接在项目设置里启用Manifest，或者手动把这个资源嵌入到程序中。

这是最灵活的方式，直接在你的Delphi安装程序里实现逻辑，不需要依赖外部命令。核心思路是获取当前登录用户的低权限进程令牌（比如系统自带的explorer.exe，它默认以用户的有限权限运行），然后用这个令牌启动目标程序。

以下是简化的Delphi代码示例：

uses
  Windows, TlHelp32;

// 获取当前登录用户的explorer进程令牌
function GetExplorerUserToken(out TokenHandle: THandle): Boolean;
var
  hSnap: THandle;
  ProcEntry: TProcessEntry32;
  hProcess: THandle;
begin
  Result := False;
  TokenHandle := 0;
  // 创建进程快照
  hSnap := CreateToolhelp32Snapshot(TH32CS_SNAPPROCESS, 0);
  if hSnap = INVALID_HANDLE_VALUE then Exit;
  try
    ProcEntry.dwSize := SizeOf(ProcEntry);
    if not Process32First(hSnap, ProcEntry) then Exit;
    // 遍历进程找到explorer.exe
    repeat
      if SameText(ProcEntry.szExeFile, 'explorer.exe') then
      begin
        // 打开explorer进程
        hProcess := OpenProcess(PROCESS_QUERY_INFORMATION, False, ProcEntry.th32ProcessID);
        if hProcess <> 0 then
        begin
          try
            // 获取进程令牌
            Result := OpenProcessToken(hProcess, TOKEN_ALL_ACCESS, TokenHandle);
          finally
            CloseHandle(hProcess);
          end;
          Break;
        end;
      end;
    until not Process32Next(hSnap, ProcEntry);
  finally
    CloseHandle(hSnap);
  end;
end;

// 用低权限令牌启动目标程序
procedure RunAsLowPrivilege(const AppPath: string);
var
  Token: THandle;
  StartupInfo: TStartupInfo;
  ProcInfo: TProcessInformation;
begin
  if not GetExplorerUserToken(Token) then Exit;
  try
    ZeroMemory(@StartupInfo, SizeOf(StartupInfo));
    StartupInfo.cb := SizeOf(StartupInfo);
    // 用获取到的令牌创建进程
    if CreateProcessAsUser(Token, nil, PChar(AppPath), nil, nil, False, 0, nil, nil, StartupInfo, ProcInfo) then
    begin
      CloseHandle(ProcInfo.hProcess);
      CloseHandle(ProcInfo.hThread);
    end;
  finally
    CloseHandle(Token);
  end;
end;

// 调用示例：
// RunAsLowPrivilege('C:\Path\To\Your\TargetApp.exe');

这个方法的好处是不需要依赖外部命令，完全在程序内部实现，而且能确保目标程序以当前登录用户的真实有限权限运行，不会继承安装程序的管理员权限。

内容的提问来源于stack exchange，提问作者Guybrush