修改文件ACL需用FileSecurity读取现有安全描述符→增删FileSystemAccessRule→调用File.SetAccessControl提交；操作需“修改DACL”权限；Deny优先级高于Allow；禁用继承用SetAccessRuleProtection；跨域账户宜用SID而非显示名。
用 FileSecurity 和 SetAccessControl 修改文件 ACL
直接改文件权限必须走 Windows 的 DACL（自主访问控制列表），C# 里靠 FileSecurity 类封装底层 Win32 API。核心流程是：读取现有安全描述符 → 添加/移除/替换 FileSystemAccessRule → 调用 File.SetAccessControl 提交。
注意：操作需要调用方具备「修改 DACL」权限（通常管理员或文件所有者才有），否则抛 UnauthorizedAccessException。
- 必须先用
File.GetAccessControl获取当前FileSecurity对象，不能 new 一个空的再塞规则 —— 否则会清空原有所有 ACE -
FileSystemAccessRule构造时，FileSystemRights（如Read、Modify）、AccessControlType（Allow或Deny）、IdentityReference（如"BUILTIN\Users"）三者缺一不可 - 添加规则后，务必调用
File.SetAccessControl(path, security)，只改FileSecurity对象本身不会生效
Deny 规则优先级高于 Allow，顺序不重要
Windows ACL 不按规则插入顺序生效，而是严格按「显式 Deny > 显式 Allow > 继承 Deny > 继承 Allow」的策略评估。所以即使你最后加了一条 Allow，只要前面存在匹配的 Deny，访问仍被拒绝。
常见误操作：想“禁止某用户写入”，却错误地删掉其 Allow Write，其实应明确添加一条 Deny Write；反之，想“恢复写入”不能只删 Deny，还得确保有对应的 Allow 存在。
- 用
security.RemoveAccessRuleAll(rule)可批量清除匹配的所有规则（含继承来的） - 用
security.PurgeAccessRules(identity)可彻底删除该用户/组的所有 ACE（推荐用于清理） - 检查是否生效，可用命令行
icacls "path o ile"快速验证
处理继承与传播标志（ObjectInherit / ContainerInherit）
文件 ACL 默认不继承父目录规则（IsInherited == false），但若你手动设置了继承，就得小心 InheritanceFlags 和 PropagationFlags。对单个文件，通常设 InheritanceFlags.None；若要让规则也作用于子文件（比如设置一个文件夹的默认 ACL），才用 ObjectInherit | ContainerInherit。
- 给文件加规则时，
PropagationFlags应设为None（除非你明确要影响子对象） - 若父目录启用了继承且你不想让子文件受其影响，需先调用
security.SetAccessRuleProtection(true, false)禁用继承（true表示保护，false表示不保留原继承规则） - 禁用继承后，原继承来的 ACE 会转为显式 ACE，此时可单独修改或删除
跨域/非本地账户需用 SID 字符串，别依赖显示名
用 "DOMAIN\User" 或 "NT AUTHORITY\SYSTEM" 这类字符串构造 IdentityReference 在多数情况可行，但遇到重命名、域迁移或内置组别名变化时会失败。更健壮的做法是用 SID 字符串，例如 "S-1-5-32-573"（即 BUILTIN\Event Log Readers）。
- 查 SID 可用 PowerShell：
(Get-ADGroup "Group Name").Sid.Value（域环境）或whoami /user（本地） - 构造时用
new SecurityIdentifier("S-1-5-32-573")，再传给FileSystemAccessRule - 避免用
WindowsIdentity.GetCurrent().Name当规则主体 —— 它返回的是显示名，不是稳定标识
实际修改 ACL 是个精细活，尤其涉及 Deny、继承控制和跨域账户时，稍不留神就锁死自己。最稳妥的方式是：先备份原 ACL（File.GetAccessControl 序列化保存），再小步试改，最后用 icacls 对照验证。
