C#实现文件访问限制：仅允许指定进程列表读取文件

常规的NTFS文件权限是基于用户账户而非进程的，所以要实现仅允许特定进程访问文件，需要用到Windows的高级安全特性或专门工具。下面分几种可行方案说明：

方案1：使用强制完整性控制（简单易操作，适合个人用户） #

这个方法通过给文件设置更高的完整性级别，让低完整性的进程（比如默认的Explorer.exe）无法访问，同时让你允许的进程以高完整性运行来访问文件。步骤如下：

1. 给text.txt设置高完整性级别
   打开管理员命令提示符，运行以下命令：

   icacls text.txt /setintegritylevel H
   

   这会把文件的完整性级别设为「高（High）」。

2. 让允许访问的进程以高完整性启动
   对于你想要允许读取text.txt的进程，右键选择「以管理员身份运行」（管理员身份默认是高完整性级别），或者用PowerShell/命令行启动：

   runas /user:Administrator "C:\path\to\your\allowed-process.exe"
   

   👉 注意：这个方法会限制所有中等完整性的进程访问文件，而不仅仅是Explorer.exe。如果你的需求只是阻止Explorer，而其他同用户的普通进程仍需访问，这个方案可能范围太广，需要看下面的精准方案。

方案2：使用Windows Defender应用控制（WDAC，精准控制进程） #

WDAC是Windows 10 1709及以上版本自带的高级应用控制工具，可以精准指定哪些进程能访问特定文件。适合需要精细控制的场景：

1. 创建基础允许策略
   打开管理员PowerShell，运行命令生成一个默认允许所有已签名进程的策略：

   New-CIPolicy -Level Publisher -FilePath .\AllowAllProcesses.xml -UserPEs
   

2. 添加拒绝Explorer.exe访问text.txt的规则
   首先获取Explorer.exe的SHA256哈希值：

   Get-FileHash -Path "C:\Windows\explorer.exe" -Algorithm SHA256
   

   复制输出的哈希值，然后添加拒绝规则：

   Add-CIPolicyRule -FilePath .\AllowAllProcesses.xml -Deny -FileHash <你的哈希值> -FileName explorer.exe -ResourceFilePath "C:\path\to\text.txt"
   

   这条规则会明确拒绝Explorer.exe访问指定的text.txt文件。

3. 转换并部署策略
   将XML策略转为二进制格式：

   ConvertFrom-CIPolicy -XmlFilePath .\AllowAllProcesses.xml -BinaryFilePath .\WDACPolicy.bin
   

   最后部署策略：

   Invoke-CimMethod -Namespace root/microsoft/windows/defender -ClassName MSFT_MpComputerPolicy -Name SetPolicy -Arguments @{PolicyType = "WDAC"; Policy = (Get-Content .\WDACPolicy.bin -Raw)}
   

   👉 注意：WDAC配置相对复杂，部署后如果需要修改规则，需要重新生成策略。另外，测试时建议先在虚拟机或非生产环境验证，避免误阻止必要进程。

方案3：第三方工具（更灵活的可视化操作） #

如果不想折腾系统自带的命令行工具，可以用第三方进程权限管理工具，比如：

• Process Hacker：可以查看和修改进程的文件访问权限，甚至针对特定进程设置文件访问拦截规则。
• AppLocker GUI：给Windows的AppLocker功能提供可视化界面，方便创建进程-文件的访问规则（仅适用于专业版/企业版Windows）。

这些工具通常提供更直观的操作界面，适合对命令行不太熟悉的用户。

内容的提问来源于stack exchange，提问作者Lê Bảo