在Go中无需读写文件，如何可靠检测Windows网络共享文件权限？

你遇到的问题很典型——Go标准库的os.Stat().Mode().Perm()在处理Windows网络共享文件时，确实无法准确反映真实的访问权限。这是因为它本质上是把Windows的权限模型强行映射成了Unix风格的三位权限位，完全忽略了Windows复杂的访问控制列表（ACL）机制，所以哪怕你没有实际访问权限，它也可能返回“有权限”的结果。

下面是几个不依赖读写文件就能检测真实权限的可靠方案：

1. 直接调用Windows系统API检查ACL #

Windows的权限控制核心是ACL，你可以通过Go的syscall包调用Windows原生API来验证当前用户对目标共享文件的实际访问权限，关键用到的API包括：

• GetNamedSecurityInfo：获取文件的安全描述符（包含ACL信息）
• OpenProcessToken：获取当前进程的访问令牌
• AccessCheck：验证令牌是否具备指定的访问权限

这里有个简化的代码思路示例：

package main

import (
    "syscall"
    "unsafe"
)

const (
    GENERIC_READ  = 0x80000000
    GENERIC_WRITE = 0x40000000
)

func checkFileAccess(path string, desiredAccess uint32) (bool, error) {
    // 转换路径为Windows宽字符格式
    pathW, err := syscall.UTF16PtrFromString(path)
    if err != nil {
        return false, err
    }

    // 获取文件的安全描述符
    var secDesc *syscall.SecurityDescriptor
    err = syscall.GetNamedSecurityInfo(
        pathW,
        syscall.SE_FILE_OBJECT,
        syscall.DACL_SECURITY_INFORMATION,
        nil, nil, &secDesc, nil, nil,
    )
    if err != nil {
        return false, err
    }
    defer syscall.LocalFree(syscall.Handle(unsafe.Pointer(secDesc)))

    // 获取当前进程的访问令牌
    var token syscall.Token
    err = syscall.OpenProcessToken(syscall.GetCurrentProcess(), syscall.TOKEN_QUERY|syscall.TOKEN_DUPLICATE|syscall.TOKEN_IMPERSONATE, &token)
    if err != nil {
        return false, err
    }
    defer token.Close()

    // 准备AccessCheck的参数
    var privSet syscall.PrivilegeSet
    privSet.PrivilegeCount = 0
    var grantedAccess uint32
    var accessStatus bool

    err = syscall.AccessCheck(
        secDesc,
        token,
        desiredAccess,
        &privSet,
        nil, nil,
        &grantedAccess,
        &accessStatus,
    )
    if err != nil {
        return false, err
    }

    return accessStatus, nil
}

// 使用示例：检查是否有读取权限
// hasRead, err := checkFileAccess(`\\server\share\file.txt`, GENERIC_READ)

2. 使用golang.org/x/sys/windows包简化调用 #

如果直接写syscall太繁琐，可以用官方维护的golang.org/x/sys/windows包，它封装了大量Windows系统调用，代码会更简洁易读。比如上面的逻辑可以用这个包的API重构，避免手动处理宽字符转换、安全描述符内存管理等底层细节。

3. 轻量级的“试打开”验证（备选） #

如果不想深入系统API，也可以尝试用os.OpenFile以目标权限（只读/只写）打开文件，但立即关闭，不读取任何内容。这种方式虽然涉及文件打开操作，但不会读写文件内容，算是一种轻量级的权限验证：

func hasReadPermission(path string) bool {
    f, err := os.OpenFile(path, os.O_RDONLY, 0)
    if err != nil {
        return false
    }
    defer f.Close()
    return true
}

不过要注意，这种方式会在文件系统留下打开记录，而且对于某些特殊权限（比如删除权限）无法验证，但对于基本的读写权限还是有效的。

总结一下：最可靠的方案是直接调用Windows的ACL相关API，它能准确反映当前用户对网络共享文件的真实访问权限，完全不需要读写文件内容。

内容的提问来源于stack exchange，提问作者jssblck