任务计划程序托管包装器错误访问被拒绝

Question

我正在创建一个应用程序，该应用程序在首次登录时为每个用户创建计划任务。我正在使用 NuGet 包任务计划程序托管包装器 2.5.21。当 exe 在登录时运行时，会出现“访问被拒绝”错误。当以管理员身份手动运行 exe 时，将创建计划任务。我该如何克服这个问题？

string installPath = Path.GetDirectoryName(Assembly.GetEntryAssembly().Location);

using (TaskService ts = new TaskService())
{
    TaskDefinition td = ts.NewTask();

    td.Actions.Add(new ExecAction("MyExe.exe", null, installPath));
    td.Triggers.Add(new SessionStateChangeTrigger
    {
        StateChange = TaskSessionStateChangeType.SessionUnlock,
        UserId = Environment.UserName
    });

    td.Principal.RunLevel = TaskRunLevel.Highest;
    td.Principal.LogonType = TaskLogonType.InteractiveToken;
    ts.RootFolder.RegisterTaskDefinition("task_" + Environment.UserName, td);
}

Answer 1

对于非管理或非提升用户，每种触发器类型都有一组限制。例如。您不能为其他人添加 OnLogon 触发器，只能为您自己添加。看起来你也根本无法添加

SessionStateChangeTrigger

。

这是基于作者对我的问题的回答的工作示例： https://github.com/dahall/TaskScheduler/issues/58

var td = ts.NewTask();
td.Actions.Add("notepad", null, null);
td.Triggers.Add(new LogonTrigger { UserId = WindowsIdentity.GetCurrent().Name });
ts.RootFolder.RegisterTaskDefinition("Test", td);

注意：如果您在 UAC 下使用

TaskRunLevel.Highest

为管理员创建任务，则只有在提升后才可能实现（否则这将是一个巨大的漏洞，使 UAC 无用）

注意：如果您要为启动应用程序的每个用户创建任务 - 您必须在任务名称中包含用户 SID。即使用户被重命名，这也保证是唯一的。否则，访问将会被拒绝，因为其他用户已经创建了相同的任务（并且他比您拥有更多的权限）。考虑 DropBox、OneDrive、GoogleDrive - 它们都将 SID 添加到任务名称中。

我最后就是这样做的（包括

Highest

版本和普通版本不同的任务名称：

private static void CreateTask(string path, string taskFolder, bool highest)
{
    var sid = WindowsIdentity.GetCurrent().User.Value;
    var userId = WindowsIdentity.GetCurrent().Name;
    using (var ts = new TaskService())
    {
        var td = ts.NewTask();
        if (highest)
        {
            td.Principal.RunLevel = TaskRunLevel.Highest;
        }
        td.Actions.Add(path, "/a", null);
        td.Triggers.Add(new LogonTrigger { UserId = userId, });
        ts.RootFolder.RegisterTaskDefinition(taskFolder + "MyApp Task-" + sid + (highest ? "h" : ""), td);
    }
}