Windows嵌入式开发环境搭建：站点配置与权限设置指南

　　会议室空调在滴水，一滴、两滴、三滴，正落在我摊开的《Windows嵌入式开发环境搭建：站点配置与权限设置指南》PDF页脚——“第17页，IIS应用池标识与LocalSystem权限边界说明”那儿。水渍晕开，像一滴未擦干的冷笑。

　　他把简历在桌上转了半圈，停住，封面朝下。我瞄见右下角铅笔写的“2023.1.22 春晚值班表备注”，不是简历内容，是他自己记的。我迟到八分钟，没看这份简历，只扫了眼前一页我手写的潦草批注：“上次问‘如何复现服务拒绝访问但事件日志空白’，答得跟PPT念稿一样。”

　　我说：“就聊这个标题——《Windows嵌入式开发环境搭建：站点配置与权限设置指南》。”
他抬眼，手边那支中性笔转得飞快，金属夹咔哒、咔哒、咔哒。前台在走廊尽头大声讲电话：“对，那个U盾驱动不兼容Win10 LTSC，我让他装KB5009646补丁包再试……”声浪撞墙反弹回来，嗡嗡的。

　　我原以为他会立刻甩出三套权限继承图谱，结果他盯着我看了三秒，突然问：“你搭过多少次TFS 2018 + Windows Embedded Standard 7的CI站点？带域控、非管理员账户、离线证书链验证那种？”
我卡住了。不是不会，是去年春晚那天凌晨四点，服务器重启后IIS自动回收应用池，证书吊销列表检查超时，整个烧录验证流水线卡死十七分钟——我亲手删了本地CRL缓存，改注册表跳过OCSP，没留文档。后来运维翻出来骂我：“你当这是单片机裸跑？”

　　我答得含糊：“大概那个区间。”
他笔停了。走廊飘来一股消毒水味，挺冲，像ICU门口。他忽然从包里抽出一张A4纸，边缘卷曲，表格第三行有块咖啡渍，深褐色，像干涸的血痂。上面列着七个人名，第三栏写着“是否通过站点配置交叉验证”。名字旁边打钩的只有两个：李哲、王婷。王婷的名字被红笔圈了两道，旁边小字：“现场演示用WinPE挂载NTFS卷失败两次，重装镜像后OK”。李哲那一行没写字，但空格里画了个极小的叉，几乎看不见。

　　我问他：“这谁？”

文章配图，仅供参考

　　我又问：“所以你真觉得这标题站得住？”
他点点头：“优胜劣汰。”
就这四个字。没解释。我后怕——去年春晚那会儿，我为了抢修产线烧录站，在客户机上直接给IIS_IUSRS加了SeBackupPrivilege，没走GPO，也没备案。监控告警邮件来了三条，我删了两条，第三条发给主管时写了句：“临时绕过，等明早策略补全。” 主管回得更快：“别补了，下周切云。” 那套基于物理站点+本地AD+NTFS ACL的老路子，三个月后全砍了。

　　他手机震了一下，微信弹窗亮起半秒：“王工，PLC模拟器授权到期了，能不能拖到节后？” 他按灭，没回。继续转笔。咔哒。咔哒。
我想到另一个候选人——张锐，干过十年军工嵌入式，面试时全程沉默，只在白板上画了个三层次权限流向图：最上层是组策略对象（GPO）下发的计算机策略；中间层是本地安全策略编辑器里手动配的审核策略；最底层是srvsvc服务启动参数里硬塞的“-noprivs”开关。画完，他擦掉中间那层，说：“这层现在没人管，因为没人敢动。但它崩的时候，不是报错，是静默跳过。” 我当时没懂。现在懂了：静默跳过，比蓝屏更毒。

　　他忽然推过来一个U盘，没标签，银灰色，侧面有一道指甲盖大小的划痕。我插进笔记本，自动弹出资源管理器窗口，里面只有两个文件：一个是叫“site_config_v3.bat”的脚本，双击运行会生成log；另一个是“win_emb_perm_flow.svg”，矢量图，打开一看，主干路径上打了七个红叉，第七个叉旁边标着：“此处必须由Domain Admin执行，但客户环境禁止该账号登陆终端”。我鼠标悬停上去，提示：“see: KB4568213 / CVE-2020-1472”。我点开bat，第一行是echo off，第二行是rem 这是测试环境用的，勿用于生产。第三行才开始setlocal enabledelayedexpansion……

　　我抬头看他。他指了指空调。滴水停了。
我原以为他要考我怎么绕过UAC提权，结果他问：“你上次手动修改HKLM\\SOFTWARE\\Microsoft\\InetStp\\Components下的Enable32BitAppOnWin64注册表项，是在哪台机器上？XP？还是你本地虚拟机？”
我没答。我上周才在新配的Windows 11 Dev VM里改过这个值，为跑一个老IDE插件。但我不敢说。因为那个VM里，我顺手禁用了WDAC策略，关掉了Credential Guard。就为让它快一点。就为让我快一点。

　　他把咖啡渍那张表抽回去，用笔尖点了点王婷名字旁的红圈：“她搭错三次IIS站点绑定，每次都绑到localhost:8080，忘了Host头路由规则。”
我笑了：“我们当年连Host头都不知道，全靠hosts文件改IP。”
他摇头：“不，是你们知道，但没人告诉你，Win10 IoT Enterprise LTSB 2016的DNS客户端缓存根本不清Hosts变更，除非手动netsh interface ipv4 set interface '以太网' dadtransmits=0。”
我愣住。
他把笔放下，金属笔身在桌面敲出一声轻响。很短。像系统日志里一条被过滤掉的Event ID 10016。

　　我盯着U盘，想起另一件事：三个月前，有个前同事离职前给我发过一封加密邮件，附件是段PowerShell，功能是遍历所有IIS站点，自动识别“启用父路径”且“启用了ASP.NET经典模式”的组合配置——这种组合在Windows Embedded 8.1里会导致W3SVC服务随机崩溃，蓝屏代码0x0000007E，错误模块始终指向aspnet_isapi.dll，但dump分析全是w3wp.exe堆栈里穿插的ntoskrnl.exe内存页异常。他跑了半年才定位。邮件末尾写：“别问出处，这问题没有KB，只有沉默。”
我后来没敢解密。

　　他起身去倒水，经过我座位时，袖口蹭到我键盘右侧——Ctrl键有点松动，按下去总带点迟滞感。我盯着那根松动的键帽，忽然意识到：所谓“优胜劣汰”，从来不是淘汰不会配权限的人。是淘汰那些还在用图形界面点来点去、没把icacls.exe和subinacl.exe写进自己shell函数库里的人；是淘汰那些看到“IIS_IUSRS组无法读取C:\\inetpub\\wwwroot\\config\\appsettings.xml”还先查百度、而不是直接ProcMon抓进程句柄的人；是淘汰那些听见“站点绑定SSL证书”就想当然选“全部未分配”的人——而Win10 IoT LTSC压根不支持SNI，你选“全部未分配”，等于把HTTPS锁死在443端口唯一实例上，连自签名都不让换。

　　他水杯放回桌上，发出钝响。我伸手去拔U盘，指尖碰到金属外壳，凉的。走廊消毒水味还没散。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!