有条件的 Windows 管理员提示

Question

我正在编写一个 C++ DLL 来连接到 MySQL 数据库。除其他外，它尝试向 Windows 防火墙列表添加一个例外，以便它可以通过 TCP（端口 3306）连接到远程 MySQL 服务器。当我尝试添加端口时，我得到一个 HRESULT 或 E_ACCESSDENIED，除非我以管理员身份运行该程序。

我想提示用户输入管理员密码，但前提是端口不在例外列表中。这意味着我不能只创建一个UAC manifest，因为据我所知，设置level="requireAdministrator" 总是会提示输入管理员密码。我可以有条件地调出管理员提示符吗？

Answer 1

只要您获得 E_ACCESSDENIED，您就可以使用带有“runas”动词的 ShellExecuteEx 重新启动您的程序。像这样的

        wchar_t szPath[MAX_PATH];
        if (GetModuleFileName(NULL, szPath, ARRAYSIZE(szPath)))
        {`enter code here`
            // Launch itself as administrator.
            SHELLEXECUTEINFO sei = { sizeof(sei) };
            sei.lpVerb = L"runas";
            sei.lpFile = szPath;
            sei.lpParameters=L"admin";
            sei.nShow = SW_NORMAL;

            if (!ShellExecuteEx(&sei))
            {
                DWORD dwError = GetLastError();
                if (dwError == ERROR_CANCELLED)
                {
                    ExitProcess(0);
                }
            }
            else
            {
                ExitProcess(0);
            }
        }

Answer 2

一旦启动应用程序，就无法提升它的权限。在您的情况下，一种解决方法是使用ShellExecuteEx 启动具有提升权限的小型外部应用程序并在那里添加防火墙例外。添加异常后，进行必要的清理并退出。然后，您可以等待应用程序完成后再继续执行。

---

非常感谢Cody Gray 指出why RunDll should not be used 和额外的blog entry by Raymond Chen，其中包含有关RunDll 问题的更多信息

Answer 3

根据您的要求，我正在根据我的评论做出答复。

---

执行此操作的正确方法是让您的 DLL 的用户自己处理这种情况。作为一名 API 开发人员，您绝对不要为防火墙之类的事情烦恼：API 用户和/或最终用户确保它正常工作，或者您可以优雅地失败。正如其他人所说，最终用户无法回答 UAC 请求（例如在无头服务器上）的原因有很多，因此您不能依赖在交互式上下文中使用您的 DLL。这根本不是你的责任。

---

如果您真的必须继续您最初的想法（我再次强调，恕我直言，这是一个坏主意），我最好的选择是将您的 DLL 一分为二：

• DLL 本身，没有任何清单，因此可以在任何用户下运行，
• 和一个单独的 .exe 带有需要管理员权限的清单，只有在需要时才会由您的 DLL 运行。

只需要求两者都存储在同一目录中，这样您就可以使用GetModuleFileName 轻松找到您的 DLL（以及 .exe）目录。

其他人指出了runas 或RunDll（IMO 的答案同样有效），但我更多的是 Unix-y 类型，因此我建议完全使用单独的二进制文件。从长远来看，我发现它更容易维护。

---

“介于两者之间”的解决方案是您的 DLL 根本不打扰防火墙（应该如此），但您提供了一个完全独立的工具（带有清单的.exe）帮助您的用户设置防火墙在他们需要的时候正确。这可能是最好的解决方案：简洁的设计（责任分离），并且您仍然向用户提供所有必需的工具。