系统常识 VistaUAC安全模型
Vista 的 UAC 安全模型是怎么设计的
解释 Vista UAC 的设计思路（管理员令牌分裂、默认标准令牌、提升机制），说明它和 XP 的差异，以及为什么「关 UAC」不等于「关安全」。
发布于 2026/11/11
所属频道 老系统与 Server
结论先行
Vista 的 UAC 核心设计是「管理员账户也默认拿标准权限令牌运行」：管理员登录后的常规进程只带标准令牌，只有明确需要时才「提升」为管理员。这就是 Vista 比 XP 安全性跃升的根基——日常恶意代码即使在「管理员账户」下也拿不到写系统目录 / 改注册表根的权限。
设计拆解
| 机制 | 说明 |
|---|---|
| 令牌分裂 | 管理员登录 = 提升令牌 + 标准令牌并存，默认进程拿标准令牌 |
| 提升机制 | 需写受保护资源时弹确认（凭据），切到提升令牌 |
| 受保护区域 | 系统目录、注册表根等写操作必须提升 |
| 虚拟存储 / 注册表 | 32 位老程序写系统目录被重定向到用户目录（兼容层） |
与 Windows XP 的差别：XP 管理员一登录就是全权限，没有默认降级；Vista 才是「管理员也先降一档」，这是行为模型差异，不是弹窗差异。
关 UAC 到底关了哪层
- 滑块拉到「从不通知」/ 组策略禁用：关的是提示弹窗与默认降级行为，管理员恢复「登录即全权限」。
- 受保护区域本身仍在，只是普通账户 / 恶意代码可借管理员会话直接写。
- 所以「关 UAC 省事」的代价就是回到接近 XP 的模型，见 Vista 的 UAC 各级别是什么意思 相关条目。
镜像入口
Vista 完整形态看 Vista With SP2 64 位镜像 与 企业版 With SP2 64 位镜像，UAC 行为在这些整合包里一致。
常见误操作
- 把「关 UAC 弹窗」当「关安全」，实际只是回到 XP 式模型。
- 普通账户当日常用，却把 UAC 关了，普通账户本该受保护最弱——更不该关。
- 用工具改注册表关 UAC 后装驱动蓝屏，分不清是 UAC 还是驱动签名问题。