为何保存HKEY_LOCAL_MACHINE时RegSaveKey()返回错误码5（拒绝访问）

为什么直接保存HKEY_LOCAL_MACHINE会失败？ #

这背后的核心原因是：HKEY_LOCAL_MACHINE（简称HKLM）并不是一个真正可被备份的注册表Hive文件。它只是一个逻辑根容器，用来整合展示多个独立的底层Hive实体——比如HKLM\SAM、HKLM\SECURITY、HKLM\SOFTWARE、HKLM\SYSTEM这些子项，每个都对应磁盘上实际存在的Hive文件（存储在C:\Windows\System32\config目录下）。

而RegSaveKey()（包括底层调用的NtSaveKey()）的作用是备份底层的Hive文件，它只能作用于实际存在的Hive节点。HKLM作为逻辑容器没有对应的物理Hive文件，系统会直接拒绝这种操作，哪怕你以管理员身份运行，也会返回错误码5（拒绝访问）。

为什么子项或HKEY_CURRENT_USER可以正常保存？ #

• HKLM的子项（如HKLM\SYSTEM）是真实的Hive实体，对应磁盘上的物理文件，所以RegSaveKey()可以正常处理。
• HKEY_CURRENT_USER本身就是一个独立的Hive文件（对应用户目录下的NTUSER.DAT），自然支持RegSaveKey()操作。

关于regedit导出的差异 #

你观察到的regedit.exe导出差异也能验证这个逻辑：

• 导出为.REG文件成功：因为REG文件是键值对数据导出，它会遍历HKLM下所有子项的键值并保存，不依赖底层Hive文件结构，所以可以处理逻辑根容器。
• 导出为.HIV文件失败：HIV文件是底层Hive文件的直接备份，只能针对实际存在的Hive节点，所以HKLM这个逻辑容器不被支持。

有没有办法保存整个HKLM的内容？ #

没办法直接用RegSaveKey()作用于HKLM本身，但可以通过以下方式实现等效效果：

1. 逐个备份HKLM的子Hive项：分别对HKLM\SAM、HKLM\SECURITY、HKLM\SOFTWARE、HKLM\SYSTEM（以及其他可能存在的子Hive，如HKLM\COMPONENTS）调用RegSaveKey()，把这些备份文件整合起来，就能覆盖HKLM包含的所有内容。
2. 使用数据导出方式：如果不需要底层Hive文件，只是需要注册表的键值数据，可以使用RegExportKey()函数（对应regedit的REG导出功能），它可以遍历HKLM下所有内容并保存为REG格式文件。

内容的提问来源于stack exchange，提问作者Aeoliyan