Windows2000 服务器端应用程序开发设计指南－存取控制(1)

说明

当对象拥有当前的DACL时，所有对对象的存取皆会被暗地拒绝，除非明确地允许。有时候对象会有空的DACL，而这不该与NULL DACL混淆。一个空的对象表示任何人（除了拥有者）都无法对此对象做存取。另一方面，一个NULL DACL允许所有的存取给所有信任成员。

假如有当前的DACL，则撷取DACL中相关ACEs的资讯可能是必需的。首先，您必须经由呼叫GetAclInformation，以找出DACL包含多少ACEs：

BOOL GetAclInformation( 

 PACL pACL, 

 PVOID pACLInformation, 

 DWORD dwACLInformationLength, 

 ACL_INFORMATION_CLASS aclInformationClass);

此函数可让您撷取经由pACL参数传递到这个函数的DACL（或是SACL）相关资讯。您应该传递结构的位址以取得ACL资讯为pACLInformation参数，而结构的长度则为dwACLInformationLength参数。AclInformationClass参数是个列举型态，它指出被传回的资讯类型，也定义您应该传递哪种结构类型为pACLInformation参数。表10-9列出AclInformationClass参数的可能值。

ACL_SIZE_INFORMATION结构最常与GetAclInformation一起使用，其定义如下：

typedef struct _ACL_SIZE_INFORMATION { 

 DWORD AceCount; 

 DWORD AclBytesInUse; 

 DWORD AclBytesFree; 

}ACL_SIZE_INFORMATION;

以下的程序代码片段撷取了C:\Test\Text.txt文件之DACL中的ACES数量。

PSECURITY_DESCRIPTOR pSD;  

PACL pDACL; 

ULONG lErr = GetNamedSecurityInfo(TEXT("C:\\Test\\Test.txt"), 

 SE_FILE_OBJECT, DACL_SECURITY_INFORMATION, NULL, NULL, 

 &pDACL, NULL, &pSD); 

if (lErr != ERROR_SUCCESS){ 

 // 错误实例 

} 

ACL_SIZE_INFORMATION aclSize = {0}; 

if(pDACL != NULL){ 

 if(!GetAclInformation(pDACL, &aclSize, sizeof(aclSize), 

  AclSizeInformation)){ 

  // 错误实例 

 } 

} 

ULONG nAceCount = aclSize.AceCount;

说明

假如C:\Test\Test.txt文件存在FAT磁盘上，或是它没有DACL，系统会在pDACL变数中传回NULL。这就是为什么在呼叫GetAclInformation之前测试NULL是很重要的原因。传递NULL指标值到GetAclInformation中，会导致违规存取的情形。

拥有DACL中的ACEs数量后，可以使用这个资讯去撷取个别的ACEs。GetAce的呼叫方式如下。

BOOL GetAce( 

 PACL pACL, 

 DWORD dwACEIndex, 

 PVOID *pACE);

这个函数简单地取得指标，指向ACL、您想要取得ACE以0为基础的索引、以及储存DACL中指向ACE的指标的指标变数位址。

请注意pace参数是PVOID类型。这是因为一些不同的ACE类型属于DACL，而每个类型都由一种不同的结构表示。GetAce被用来撷取每个类型。然而，ACLs可以包含任何数量的ACEs及任何ACE类型的组合，所以在您用GetAce撷取ACE前，不可能知道ACEs的类型。

尽管撷取ACE总数及ACE本身是简单的，研读DACL的真正工作变成去认识不同类型的ACEs。

认识ACEs
　

有些不同的ACE类型可以被分割成两个广泛的类型：标准ACEs及对象ACEs。您可以在每一组中找到允许、拒绝存取和稽核存取的ACE类型。每个ACE类型必定会分享共同的属性－即其结构第一个成员为ACE_HEADER类型，定义如下：

typedef struct _ACE_HEADER { 

 BYTE AceType; 

 BYTE AceFlags; 

 USHORT AceSize; 

}ACE_HEADER;

ACE标头对于读取DACL来说是重要的，因为当您从GetAce撷取指向ACE的指标时，在读取ACE的标头前，并不知道ACE的类型或是组成ACE的结构类型。

如您所猜测的，ACE标头的AceType成员指出了标头代表的ACE类型。表10-10列出了AceType可能的值。这六种ACE类型可在Windows 2000中使用。

ACE_HEADE结构的AceFlags成员包含关于ACE的继承及稽核资讯。AceFlag成员将是表10-11中某些值的组合。

ACE_HEADER* pACEHeader ;  

GetAce(pDACL, 0, (PVOID*)&pACEHeader); 

switch(pACEHeader->AceType ){ 

 // 根据ACE的类型作用 

}