使用Rust操作Windows ACL：windows-acl库简介

原创

qife122

发布于 2025-08-09 20:32:35

910

文章被收录于专栏：网络安全技术点滴分享网络安全技术点滴分享

Windows ACL简介

访问控制列表(ACL)是微软Windows安全模型的核心组成部分。除了控制对安全资源的访问外，ACL还用于沙箱隔离、事件审计和指定强制完整性级别。然而以编程方式操作ACL（特别是在Rust中）极其困难。

Windows包含两种ACL类型：

自主访问控制列表(DACL)：控制实体对资源的访问权限
系统访问控制列表(SACL)：管理审计事件所需的操作类型，并为资源设置强制完整性标签

当前操作ACL的挑战

修改现有ACL需要创建新ACL。删除操作相对简单，只需复制除目标条目外的所有现有条目。但对于DACL的插入操作更为复杂：

必须确保新访问控制条目(ACE)插入到正确位置
新DACL必须避免与现有ACE条目冲突
在Rust中处理这些复杂性尤为困难

windows-acl如何简化操作

以appjaillauncher-rs项目为例，该工具使用AppContainers沙箱化Windows应用。通过windows-acl库：

提供了模块化接口处理DACL/SACL操作
简化了ACE的添加和删除过程

代码示例

添加DACL允许条目：

match ACL::from_file_path(string_path, false) {
    Ok(mut acl) => {
        let sid = string_to_sid(string_sid).unwrap_or(Vec::new());
        if sid.capacity() == 0 {
            return false;
        }
        acl.remove(
            sid.as_ptr() as PSID, 
            Some(AceType::AccessAllow), None
        ).unwrap_or(0);
        if !acl.allow(sid.as_ptr() as PSID, true, mask).unwrap_or_else(|code| {
               false
           }) {
            return false;
        }
    },
    ...
}

删除DACL允许条目：

match ACL::from_file_path(string_path, false) {
    Ok(mut acl) => {
        let sid = string_to_sid(string_sid).unwrap_or(Vec::new());
        if sid.capacity() == 0 {
            return false;
        }
        let result = acl.remove(
                         sid.as_ptr() as PSID, 
                         Some(AceType::AccessAllow), 
                         None);
        if result.is_err() {
            return false;
        }
    },
    ...
}