最可靠方式是windows调用checktokenmembership检查进程令牌是否含administrators组sid，linux/macos用geteuid()==0判断root权限；需注意uac令牌分离和wsl权限隔离等平台差异。
Windows下用 CheckTokenMembership 判断是否以管理员身份运行
直接调用 Windows API 是最可靠的方式。不能只看进程名或尝试写系统目录来“猜测”，因为 UAC 可能启用虚拟化，导致看似成功写入实则被重定向到用户目录。
关键点是获取当前进程的访问令牌，再检查它是否属于 BUILTIN\Administrators 组：
- 调用
OpenProcessToken(GetCurrentProcess(), TOKEN_QUERY, &hToken)获取令牌句柄 - 用
AllocateAndInitializeSid构造BUILTIN\Administrators的 SID（注意参数顺序：SECURITY_BUILTIN_DOMAIN_RID+DOMAIN_ALIAS_RID_ADMINS） - 传给
CheckTokenMembership(hToken, pAdminSid, &bIsAdmin)，返回值为非零即为管理员 - 别忘了
FreeSid(pAdminSid)和CloseHandle(hToken)，否则泄漏句柄
Linux/macOS 下检查 real/effective UID 是否为 0
Unix-like 系统不叫“管理员”，而是看 UID。但要注意：getuid() 返回真实 UID（启动时的），geteuid() 返回有效 UID（当前权限上下文）。真正决定权限的是后者。
典型误判场景：程序被 sudo 启动，但未正确设置 setuid 位，或被容器限制——此时 geteuid() == 0 才代表有 root 权限：
- 用
geteuid() == 0判断，不是getuid() - 如果程序通过
sudo运行，geteuid()通常为 0；若仅靠setuid文件权限提升，则依赖文件本身的setuid位是否生效 -
getuid() != geteuid()表示权限被临时降级（如某些守护进程），这时仍应以geteuid()为准
跨平台封装时避免硬编码字符串或平台宏污染
别写 #ifdef _WIN32 / #else 套一大段逻辑。把平台差异收进一个内联函数里，对外只暴露统一接口：
inline bool IsPrivileged() {
#ifdef _WIN32
HANDLE hToken;
if (!OpenProcessToken(GetCurrentProcess(), TOKEN_QUERY, &hToken)) return false;
PSID pAdminSid = nullptr;
SID_IDENTIFIER_AUTHORITY NtAuthority = SECURITY_NT_AUTHORITY;
if (!AllocateAndInitializeSid(&NtAuthority, 2, SECURITY_BUILTIN_DOMAIN_RID,
DOMAIN_ALIAS_RID_ADMINS, 0, 0, 0, 0, 0, 0, &pAdminSid)) {
CloseHandle(hToken);
return false;
}
BOOL bIsAdmin = FALSE;
CheckTokenMembership(hToken, pAdminSid, &bIsAdmin);
FreeSid(pAdminSid);
CloseHandle(hToken);
return bIsAdmin != 0;
#else
return geteuid() == 0;
#endif
}
注意：Windows 版本必须链接 Advapi32.lib，否则链接失败报 unresolved external symbol CheckTokenMembership。
常见误判和调试建议
很多代码跑在开发机上看似正常，一部署就出错，往往是因为没考虑实际运行环境：
- Windows 上启用了 UAC 但程序未声明
requestedExecutionLevel，即使用户是管理员，进程默认也是中等完整性级别（Medium IL），CheckTokenMembership仍会返回 true，但实际 I/O 可能被虚拟化拦截 - Linux 容器中
geteuid() == 0不代表能访问宿主机设备或挂载点，得看 capabilities（如CAP_SYS_ADMIN）是否被授予 - 不要用
system("whoami")或解析命令输出——慢、不可靠、易受环境变量干扰 - 调试时用
Process Explorer（Win）或cat /proc/self/status | grep -i "uid\|cap"（Linux）直接验证实际 token/capabilities 状态
权限判断本身很简单，难的是后续操作是否真能执行——拿到“是管理员”这个布尔值后，下一步的系统调用仍可能因策略、沙箱或完整性级别被拒绝。
C++免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 C++ 的入门与实战技巧！
