**1. 干什么** Windows 以 SID（Security Identifier，即安全标识符，账号创建后终身不变的唯一编号）表达用户与组身份，鉴权比对 SID 而非显示名。组本身也是一个 SID，用户可同时归属多个组。 **2. 谁在调** * 用户态主体：登录进程、安全子系统与访问对象的进程。 * 系统层封装：advapi32 的 ConvertSidToStringSidW、令牌查询 API。 * 内核态主体：对象安全描述符、DACL（自由访问控制列表）与 ACE（访问控制条目）逐条比对。 **3. 做什么业务** SID 由颁发机构、机器或域唯一 ID、RID（相对 ID，即账号在本机或域内的序号）分段组成，格式如`S-1-5-21-<机器/域ID>-<RID>`。RID 500 固定为 Administrator，501 固定为 Guest，RID 小于 1000 为内置账号。访问对象时，内核把令牌中的用户 SID 与全部所属组 SID 摊开，与 DACL 中每条 ACE 声明的允许或拒绝权限逐项匹配，匹配条目决定结果。 **4. 组件清单**