Windows多媒体站搭建：权限配置一招搞定

　　去年双十一，我蹲在机房三号柜后面改 registry 权限，耳机里塞着钉钉语音——老张在那边念 PowerShell 命令，念到一半被他女儿抢麦喊“爸爸烤红薯糊了”，然后就是锅铲哐当一声砸不锈钢盆底。

　　Windows多媒体站搭建：权限配置一招搞定。这标题不是我起的，是运营在需求评审会上顺手抄的，她指甲上那点银色亮片反光晃得我右眼跳了三下。我当时没拦，心想反正又不是第一次听玄学方案落地——结果真做起来了，反而更堵得慌。

　　我原以为得改组策略、导GPO、配AD域控、再手搓一个MMC快照模块……结果两台Win11测试机上，就一条命令：icacls “C:\\Program Files\\MediaServe” /grant “IIS_IUSRS:(OI)(CI)F” /t /q。执行完，刷新页面，音频流秒出。旁边小陈盯着F12 Network面板发愣，手还悬在键盘上没撤回来，保温杯盖子歪着没拧紧，茶水顺着杯沿流到键盘托右侧第二颗螺丝孔里，积了黄褐色一圈水渍。

　　可你猜怎么着？这招只对Win11+IIS10+WebDAV启用后的场景成立。换成Win10 LTSC，同样的路径、同样的用户组、同样的权限继承，播放器一开就弹“访问被拒绝”，错误代码0x80070005——连Event Viewer里都懒得记日志，只在System日志底下埋了个“信息级”的Service Control Manager事件，第104条，时间戳刚好卡在我切去倒咖啡那十八秒之间。

　　那天下午雨下得特别闷，没打雷，就是灰云压着窗台，玻璃上浮着一层油膜似的水汽。运维老周来换交换机模块，穿的是拖鞋，左脚拖鞋带断了，他一直用大拇指勾着，走一步滑半步，在机柜间来回挪的时候，后脚跟反复蹭过地线铜排，滋啦、滋啦、滋啦……像在给整栋楼做心电图。

　　组件库选型撕逼那次，我还在Vue侧写m3u8切片重试逻辑，老杨坐我斜后方，正把Chrome 92的User Agent字符串一行行敲进curl里测兼容性，嘴里念叨“iOS14.5 Safari不认fetch().then里的Promise.allSettled”，说完突然抬手拍自己大腿：“哎我操——忘了它根本没Promise.allSettled！” 他拍得特别实，裤缝当场裂了道口子，线头翘出来三毫米。

　　但Windows多媒体站这事儿，偏偏最不需要前端兜底。播不出？不是CORS，不是MIME类型错，不是跨域代理漏配，更不是PWA缓存污染——是NTFS ACL里少了一个(CI)，也就是“容器继承”。这个标记，你手动右键属性—安全—高级—勾选“替换子容器和对象的所有权限项”，它会自动加进去；但用cacls（注意是cacls不是icacls）批量赋权时，这玩意儿就不带。我敢打包票，所有用cacls写的部署脚本，在Win11 22H2之后全得跪。不信你现在翻你GitLab CI流水线最后一行：if [ $? -eq 0 ]; then echo "deploy success" —— 成功个屁，只是没报错而已。

　　我们搞前端的，默认觉得权限这事是后端扛、是DevOps管、是安全组定，跟咱有毛关系。结果某天凌晨两点，客户群炸了：“直播音画不同步！”——查下来发现FFmpeg转码服务进程是以LocalService身份跑的，而LocalService默认对D:\\media\\live目录只有读权限，往临时文件夹写ts切片时被SYSTEM账户拒了，但它又不报错，只默默静音推流。整个过程安静得像没发生。而解决方式？就改一行注册表项：HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\ProfileList\\S-1-5-19\\State，把值从0改成1，重启服务。就这么点事，折腾了十九小时，其中十七小时花在确认是不是CDN节点DNS劫持……

　　前两天翻旧项目文档，看见一句写着“此方案已通过UWP沙箱环境验证”。我笑了。谁他妈还跑UWP啊？Win11自带Edge都早切Chromium内核了。但这句话居然没删，留在README第三段，字体还是微软雅黑，字号12，行距1.5——就像当年公司食堂贴着的“今日午餐：红烧肉”，其实上周二就换菜单了，只是没人撕。

　　所以我说“优胜劣汰”站得住，并不是因为这招多聪明，而是因为所有绕过它的方式都死透了：用AppPoolIdentity？缺(CI)就挂；改ApplicationHost.config的accessPolicy？IIS10默认关；硬塞一个LocalSystem服务？审计日志满天飞，下周安全通报点名。只剩这一条路活，还不用装任何插件、不用动防火墙规则、不用等证书续签——它不是最优解，是仅存解。这就叫淘汰，不是算法淘汰，是活人用脚投票淘汰的。

　　桌角那盒德芙巧克力拆了一半，糖纸皱成团粘在显示器底座背面，我昨天看见小陈用牙签把它挑下来，又塞回盒子。现在盒子里剩四块，其中一块融了一角，沾着点灰。我不知道该不该扔，就让它搁那儿。

文章配图，仅供参考

　　这事儿我暂时不往下推了。下周一我约了硬件组看那台带Realtek ALC1220声卡的工控机——听说它在ASUS BIOS里藏了个“HD Audio Controller Power Saving Mode”，开关一拨，USB-C音频直出就变单声道。要是真这样，我准备直接拔网线。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!