C# Windows Service 禁用 USB 設備失敗：LocalSystem 權限解決方案

問題現象

同樣的禁用 USB 程式碼，在 WinForms 應用程式中正常，放入 Windows Service 後失敗，無異常拋出，設備不禁用。

根本原因

服務預設以「Local Service」或「Network Service」帳號運行，權限不足，無法存取裝置管理介面 (SetupAPI / Device Installation APIs) 執行硬體變更操作。

解決方案

方案一：服務安裝時指定 LocalSystem (最簡單)

// ProjectInstaller.cs (設計器生成的類)
public ProjectInstaller() {
    InitializeComponent();
    
    // 關鍵：設定服務帳號為 LocalSystem
    this.serviceProcessInstaller1.Account = ServiceAccount.LocalSystem;
    this.serviceInstaller1.StartType = ServiceStartMode.Automatic;
}

方案二：程式碼動態安裝指定帳號

using System.ServiceProcess;

public static void InstallService(string exePath, string serviceName) {
    var psi = new ServiceProcessInstaller { Account = ServiceAccount.LocalSystem };
    var si = new ServiceInstaller { 
        ServiceName = serviceName, 
        DisplayName = "USB Blocker Service",
        StartType = ServiceStartMode.Automatic 
    };
    
    var assemblyInstaller = new AssemblyInstaller(exePath, null) {
        Installers = { psi, si }
    };
    
    var state = new System.Collections.Hashtable();
    assemblyInstaller.Install(state);
    assemblyInstaller.Commit(state);
}

方案三：sc 命令安裝 (部署腳本適用)

sc create "USBBlocker" binPath= "C:\Path\USBBlocker.exe" start= auto obj= "LocalSystem"
sc start "USBBlocker"

驗證清單

• ☑ 服務屬性 → 登入 → 選「本地系統帳戶」
• ☑ 勾選「允許服務與桌面互動」 (舊版 Windows 需要，新版不影響)
• ☑ 服務啟動類型：自動
• ☑ 目標機器無群組策略禁止 LocalSystem 存取裝置

USB 禁用核心程式碼參考 (SetupAPI)

[DllImport("setupapi.dll", SetLastError = true)]
static extern IntPtr SetupDiGetClassDevs(
    ref Guid ClassGuid, uint Enumerator, IntPtr hwndParent, uint Flags);

[DllImport("setupapi.dll", SetLastError = true)]
static extern bool SetupDiSetClassInstallParams(
    IntPtr DeviceInfoSet, ref SP_DEVINFO_DATA DeviceInfoData, 
    ref SP_PROPCHANGE_PARAMS ClassInstallParams, uint ClassInstallParamsSize);

[DllImport("setupapi.dll", SetLastError = true)]
static extern bool SetupDiCallClassInstaller(
    uint InstallFunction, IntPtr DeviceInfoSet, ref SP_DEVINFO_DATA DeviceInfoData);

// DIF_PROPERTYCHANGE = 0x12
// DICS_DISABLE = 0x00000003
// DICS_FLAG_GLOBAL = 0x00000001

替代方案：避免服務直接操作硬體

安全性警示

⚠️ **LocalSystem 擁有最高系統權限**，服務漏洞 = 系統淪陷。建議：

1. 將 USB 操作邏輯隔離到單獨的最小化 EXE
2. 服務僅負責調度、通訊，透過命名管道/IPC 呼叫 EXE
3. EXE 以管理員權限運行 (UAC 提升)，而非系統權限
4. 啟用代碼簽名、啟用 DEP/ASLR

1. 上一篇文章： C++ 四數排序：手寫冒泡排序網路 vs std::sort 最佳實踐
2. 下一篇文章： jQuery toggle() 方法在 jQuery 1.9+ 被移除：遷移到 click 切換邏輯

程式設計綜合問答

C# 印出星號三角形：雙重迴圈邏輯與完整代碼

規律分析 假設總行數 row，第 n 行（1-based）：

Java Swing 路由表查詢界面：按鈕事件監聽與文本框數據綁定完整實現

核心缺失：未註冊 ActionListener 代碼中 `c

MySQL 建表語句遷移至 SQL Server：語法差異對照與修正

原 MySQL 語句 CREATE TABLE trade

Java finally 執行時機：在 return 表達式求值後、返回值拷貝前執行，不影響返回值

規則總結 有無異常 `finally` **必執行**（除