如果目标文件夹非常大，则使用 System.Security.AccessControl 从文件夹 ACL 中删除 ACE 会非常慢

Question

我需要从共享的特定子文件夹上的 ACL 中删除某些帐户（例如“所有人”受托人或某个授予所有人访问文件夹的全局组）。我得到一个 DirectorySecurity 对象，获取并遍历 AuthorizationRuleCollection，从 ACL 中删除有问题的 AccessRule，然后调用 SetAccessControl 来应用更改。如果目标文件夹很小，一切正常，但如果它有很多子文件夹和文件，则应用更改可能需要很长时间（比手动执行要长得多）。我只想处理目标文件夹上的 ACL。有没有办法使用 .net DirectorySecurity 类来做到这一点？还是我必须求助于 Win32 API 或其他解决方案？谢谢。

这是一个sn-p的代码。对 dirInfo.SetAccessControl(dirSec) 的调用是文件夹很大时挂起的地方。

DirectoryInfo dirInfo = new DirectoryInfo(path);
DirectorySecurity dirSec = dirInfo.GetAccessControl();
AuthorizationRuleCollection acl = dirSec.GetAccessRules(true, true,     
                                  typeof(System.Security.Principal.NTAccount));
foreach (FileSystemAccessRule ace in acl)
{
    if (groupsToRemove.Contains(ace.IdentityReference.Value))
    {
        dirSec.RemoveAccessRuleSpecific(ace);
        dirInfo.SetAccessControl(dirSec);
    }
}

Answer 1

DirectoryInfo dirInfo = new DirectoryInfo(path);
DirectorySecurity dirSec = dirInfo.GetAccessControl();
AuthorizationRuleCollection acl = dirSec.GetAccessRules(true, true,     
                                  typeof(System.Security.Principal.NTAccount));
foreach (FileSystemAccessRule ace in acl)
{
    if (groupsToRemove.Contains(ace.IdentityReference.Value))
    {
        dirSec.RemoveAccessRuleSpecific(ace);
        dirInfo.SetAccessControl(dirSec);
    }
}

在您的代码中，您在循环的每次交互中都将更新应用到 ACL，这会变得非常昂贵。您是否尝试将 dirInfo.SetAccessControl(dirSec); 移到 foreach 之外？这应该在您的 DirectoryInfo 对象上调用一次 SetAccessControl 方法，一次应用所有更改，如下所示：

foreach (FileSystemAccessRule ace in acl)
{
    if (groupsToRemove.Contains(ace.IdentityReference.Value))
    {
        dirSec.RemoveAccessRuleSpecific(ace);        
    }
}
dirInfo.SetAccessControl(dirSec);

Answer 2

您必须设置 SE_DACL_PROTECTED 标志以“防止在父容器的 DACL 上设置的 ACE，以及​​目录层次结构中父容器上方的任何对象应用于对象 DACL。”这可能会加快您的操作，因为它不必将其应用于所有子对象。同样来自 MSDN，

请注意，必须存在 SE_DACL_PRESENT 标志才能设置 SE_DACL_PROTECTED 和 SE_SACL_PRESENT 必须存在才能设置 SE_SACL_PROTECTED。

然后您必须使用 IADsSecurityDescriptor.Control 属性来控制 DACL 和 SACL 是否由对象从其父容器继承。

有关IADsSecurityDescriptor 接口的更多信息，请访问 MSDN。