如何通过Wix Installer配置文件夹权限：仅SYSTEM与管理员可读写

我明白你要的是给安装目标文件夹锁死权限——只有SYSTEM账户和管理员能读写，其他用户碰都碰不了。你之前试了各种Permission和PermissionEx的组合可能没踩对关键点，核心是得先切断权限继承，再精准添加允许的权限，而不是一味地拒绝其他用户。

直接能用的Wix代码示例 #

<Directory Id="TARGETDIR" Name="SourceDir">
  <Directory Id="ProgramFilesFolder">
    <!-- 替换成你的目标文件夹名称 -->
    <Directory Id="INSTALLFOLDER" Name="YourAppInstallFolder">
      <Component Id="CoreAppComponent" Guid="PUT-YOUR-UNIQUE-GUID-HERE">
        <!-- 这里放置你的应用程序文件、资源等 -->
        <CreateFolder>
          <!-- 第一步：切断权限继承，清除所有父目录传来的权限 -->
          <util:PermissionEx 
            User="Everyone" 
            GenericAll="no"
            GenericRead="no"
            GenericWrite="no"
            GenericExecute="no"
            Delete="no"
            DeleteChild="no"
            ReadPermissions="no"
            ChangePermissions="no"
            TakeOwnership="no"
            Inheritance="none"
          />
          <!-- 给SYSTEM账户完全控制权限，覆盖当前文件夹、子文件夹和所有文件 -->
          <util:PermissionEx 
            User="SYSTEM" 
            GenericAll="yes" 
            Inheritance="thisFolderSubfoldersAndFiles"
          />
          <!-- 给管理员组完全控制权限，同样覆盖层级 -->
          <util:PermissionEx 
            User="Administrators" 
            GenericAll="yes" 
            Inheritance="thisFolderSubfoldersAndFiles"
          />
        </CreateFolder>
      </Component>
    </Directory>
  </Directory>
</Directory>

为什么这么写？几个关键细节 #

1. 必须切断权限继承：如果不设置Inheritance="none"，父目录（比如Program Files）的默认权限会被继承下来，比如Users组的读取权限就会残留，根本达不到你要的“其他用户无任何权限”的效果。
2. 只加允许的权限：不用特意去拒绝Users或Everyone的权限——切断继承后，这些账户本来就没有任何权限，除非你主动添加。显式给SYSTEM和管理员开GenericAll="yes"，确保他们拥有所有读写、修改、删除的权限。
3. 权限层级覆盖：Inheritance="thisFolderSubfoldersAndFiles"保证权限不仅作用在目标文件夹本身，还会应用到里面的子文件夹和所有文件，避免出现文件夹有权限但文件没权限的情况。

避坑提醒 #

• 别混用<Permission>和<util:PermissionEx>：这俩的权限处理逻辑不一样，混用很容易出问题，全程用util:PermissionEx就行（记得在项目里引用WixUtilExtension）。
• Guid要唯一：每个Component的Guid必须是独一无二的，不然安装过程中可能会出现组件注册错误。
• 安装后一定要验证：右键文件夹→属性→安全，看看是不是只有SYSTEM和Administrators在权限列表里，其他用户都看不到，这样才是正确的。

内容的提问来源于stack exchange，提问作者Eric