**1. 干什么** 三系统均在每次经系统调用进入内核时校验进程凭证后决定放行，高权限主体仍位于用户态，差异在凭证表达与附加围栏。 **2. 谁在调** * 用户态主体：发起资源访问的进程。 * 系统层封装：setuid、OpenProcessToken/GetTokenInformation、setuid 加 TCC 接口。 * 内核态主体：UID/GID 比对、令牌 AccessCheck、SIP 标记加 TCC 记录裁决。 **3. 做什么业务** * Linux：身份为 UID/GID 数字，0 为 root，setuid 切换身份，SUID 位执行时提权，文件级为三组 rwx 位，capabilities 细分 root 权力。 * Windows：身份为 SID 字符串，访问令牌装载组与特权，SYSTEM 与 Administrator（RID 500）为高权限，经 UAC 提升或模拟令牌切换，文件级为安全描述符加 DACL 逐 SID 条目，Session 0 隔离。 * macOS：以 UID 为底，叠加 SIP 保护系统目录、TCC.db 记