Windows 7 无法启动 Program Files 外的 Windows service

结论

Windows 7 对 Windows service 的启动目录没有限制，服务程序不必放在 Program Files 中。

出现 Access is denied，通常是因为服务登录账户没有权限读取、遍历或执行 debug 目录中的文件。其他可能原因包括 EFS 加密、Software Restriction Policies、AppLocker，或者服务路径使用了映射盘。程序复制到 Program Files 后可以启动，说明两个目录的权限或安全策略不同，无法据此判断 Windows service 存在目录限制。

检查服务账户和路径

以管理员身份打开命令提示符，执行：

sc qc MyService

查看以下两项：

BINARY_PATH_NAME
SERVICE_START_NAME

SERVICE_START_NAME 可能是：

• LocalSystem
• NT AUTHORITY\LocalService
• NT AUTHORITY\NetworkService
• 某个本地或域账户

服务访问文件时采用该账户的权限，与当前登录用户的权限无关。因此，开发者本人能够运行 debug build，不代表服务账户也能运行。

修改服务路径时，建议使用 sc.exe，不要直接编辑注册表：

sc config MyService binPath= "\"C:\Dev\My Service\bin\Debug\MyService.exe\""

binPath= 后必须保留一个空格。如果路径中含有空格，内部引号也不能省略。

为服务账户授予必要权限

服务账户需要对可执行文件、依赖 DLL、配置文件以及各级父目录拥有读取、执行和目录遍历权限。

服务以 LocalSystem 运行时：

icacls "C:\Dev\MyService\bin\Debug" /grant "SYSTEM:(OI)(CI)RX" /T

服务以 LocalService 运行时：

icacls "C:\Dev\MyService\bin\Debug" /grant "NT AUTHORITY\LOCAL SERVICE:(OI)(CI)RX" /T

服务使用专用账户时：

icacls "C:\Dev\MyService\bin\Debug" /grant "DOMAIN\ServiceUser:(OI)(CI)RX" /T

各参数的含义如下：

• (OI) 表示权限继承到文件。
• (CI) 表示权限继承到子目录。
• RX 表示读取和执行。
• /T 表示递归处理已有文件和目录。

非英文版 Windows 中的账户名称可能不同，请以服务属性“登录”页显示的实际账户为准。

调试时不必给 Everyone 授予完全控制权限，也不需要关闭 UAC。只需为服务账户配置完成运行所需的最小权限。

分开放置程序文件和可写数据

Program Files 适合存放可执行文件，不适合让普通权限的服务写入日志、数据库或运行时配置。服务启动后无法修改该目录中的文件，是正常的权限行为。

可将需要写入的数据放在单独的目录中，例如：

C:\ProgramData\MyCompany\MyService

只对这个数据目录授予修改权限：

icacls "C:\ProgramData\MyCompany\MyService" /grant "NT AUTHORITY\LOCAL SERVICE:(OI)(CI)M" /T

M 表示修改权限。程序目录通常只需授予 RX，以免服务进程意外覆盖自身的可执行文件或 DLL。

如果安装版本没有这个问题，可能是安装程序已经创建数据目录并配置了 ACL，也可能是安装版本使用了不同的服务账户或配置路径。需要逐项比较才能确定原因。

仍然报错时的排查项目

检查 EFS 加密

如果 debug 目录或可执行文件经过 EFS 加密，服务账户通常无法使用当前用户的解密密钥。

cipher /c "C:\Dev\MyService\bin\Debug\MyService.exe"

如果文件已加密，可将调试输出放到未加密的目录中，或在确认安全要求后解除加密。缺少 EFS 密钥时，单独增加 NTFS ACL 无法解决问题。

检查 AppLocker 或软件限制策略

某些 Windows 7 版本或企业环境可能配置了执行规则，只允许从 Windows、Program Files 等目录运行程序。即使 NTFS 权限正确，从开发目录启动服务仍可能被拒绝。

可在事件查看器中检查：

Applications and Services Logs
  Microsoft
    Windows
      AppLocker
        EXE and DLL

如果日志明确记录了程序被规则阻止，应由管理员为开发目录、文件发布者或文件哈希添加允许规则，无需关闭整套执行控制策略。

不要使用映射盘符

服务运行在独立的登录会话中，通常无法访问当前用户映射的 Z: 等网络驱动器。如果 debug build 位于网络共享中，应改用 UNC 路径，并确保服务账户同时拥有共享权限和 NTFS 权限：

\\server\share\MyService\MyService.exe

调试时，将服务程序放在本地开发目录通常更稳妥。

检查依赖文件

服务账户可能有权执行主程序，却无法读取某个 DLL、配置文件、证书私钥或日志目录。检查事件查看器中的 Service Control Manager 记录，同时确认所有依赖文件的 ACL。若主程序已经启动但随后退出，还要查看服务自身的日志和 Windows Application 日志。

推荐的调试目录布局

可以使用固定的本地目录，不必每次都将程序复制到 Program Files：

C:\ServiceDev\MyService\bin
C:\ServiceDev\MyService\data
C:\ServiceDev\MyService\logs

为 bin 目录授予服务账户读取和执行权限，为 data、logs 目录授予修改权限。每次编译后直接更新 bin 中的文件，再通过 Visual Studio 附加到服务进程即可。

备注：内容仅供参考。