需夺取nt service\trustedinstaller所有权并赋administrators完全控制权：图形界面操作适合单个文件；命令行takeown+icacls适用于顽固或批量文件；启用内置administrator账户是极端情况终极方案。
当你在 Windows 系统中尝试修改、删除或替换 C:\Windows\System32、C:\Windows\WinSxS 或 C:\Program Files\WindowsApps 中的文件时，反复弹出“你当前无权修改此项目”“需要来自 TrustedInstaller 的权限”或“拒绝访问”，说明该文件的所有权仍归属 NT SERVICE\TrustedInstaller，且你的账户未被授予 NTFS 完全控制权限——必须主动夺取所有权并显式赋权，否则所有写入操作均被内核安全子系统拦截。
图形界面接管所有权+授完全控制（新手首选）
这一步适合单个关键文件（如 C:\Windows\System32\drivers\etc\hosts），全程可视化，无需记忆命令，但要求资源管理器响应正常且你已以管理员组成员身份登录。
右键目标文件 → 选择【属性】→ 切换到【安全】选项卡 → 点击右下角【高级】。
在“高级安全设置”窗口顶部，点击【所有者】右侧的【更改】链接。
在“输入要选择的对象名称”框中输入 Administrators（不是你的个人用户名，避免UAC沙箱干扰），点击【检查名称】确认格式正确后点【确定】。
勾选【替换子容器和对象的所有者】——不勾选则仅修改文件本身，其所在文件夹权限仍锁定，后续编辑 hosts 会失败。
点击【应用】，等待进度条走完 → 连续点【确定】关闭所有窗口；重新打开该文件的【属性】→【安全】→【编辑】→【添加】→ 输入 Administrators → 勾选【完全控制】→ 确认【应用于】为“仅此文件” → 【应用】→ 【确定】。
管理员终端执行 takeown + icacls 命令（顽固文件必用）
当图形界面卡死、文件路径含 Unicode 字符（如中文路径）、或需批量处理多个受保护文件时，命令行是唯一可靠路径。它绕过 UI 权限校验，直接调用内核级 SeTakeOwnershipPrivilege。
Windows 命令行编码与兼容规范。涵盖 GBK/UTF-8 编码、PowerShell/pwsh 互操作、Python/Node.js、Git 配置及代码生成规则。适用于 Windows 10/11 + MSYS2/Git Bash 环境下的所有命令行操作。
方法一：以 Administrators 组身份接管（兼容性最强，推荐用于 System32 等核心目录）
按下 Win + X → 选择【Windows 终端(管理员)】→ UAC 提示点【是】→ 依次执行以下两行命令（每行回车）：
takeown /f "C:\Windows\System32\drivers\etc\hosts" /d y
icacls "C:\Windows\System32\drivers\etc\hosts" /grant Administrators:F /c /q
方法二：若需修改的是整个文件夹（如整个 drivers 目录），把上面两条命令中的路径替换成文件夹路径，并在 takeown 后加 /r，在 icacls 后加 /t ——漏掉 /r 或 /t 将导致子项仍被锁定。
启用内置 Administrator 账户直连 SYSTEM 级令牌（终极方案）
当你面对的是整套权限继承污染严重、图形界面和命令行均失效的极端情况（例如 WinSxS 文件夹全红锁），必须启用原生隐藏的 Administrator 账户。该账户拥有真正的 SYSTEM 级完整性令牌，不受 UAC 弹窗拦截，可直接运行任意进程。
第一步：按下 Win + X → 选择【Windows 终端(管理员)】；
第二步：输入命令 net user administrator /active:yes 并回车；
第三步：确认返回“命令成功完成”；
第四步：必须注销当前用户，不可仅切换用户；
第五步：在登录界面选择 Administrator 账户，首次启用时密码为空，直接回车登录。
登录后，右键目标文件 → 属性 → 安全 → 高级 → 更改所有者为 Administrator → 勾选“替换子容器和对象的所有者” → 应用 → 再次进入安全 → 编辑 → 添加 Administrator → 勾选“完全控制” → 应用。
