先说清楚一个容易让新人跑偏的点这个标题里的“跨域”不是浏览器里的 CORS 跨域也不是 ASP.NET 的跨域配置而是 Windows 程序在一台机器上访问另一台机器或另一个域/工作组环境里的机器的共享文件夹时怎么把目标机器认可的账号密码传进去。很多人在网上搜“C# 共享文件夹 账号密码”搜到一堆跨域 CORS 文章就是被这两个词给带偏了。我自己在实际项目里被这个问题堵过好几次程序跑在一台服务器上要定时去另一台内网机器的共享目录拉报表、传文件但当前进程用的 Windows 身份没有目标机器权限。直接写\\192.168.1.100\share\report.xlsx用File.Copy去拷第一次弹个框还能手输密码可一放到无人值守的服务里就彻底歇菜。这篇文章就把我后来用成熟的两种方案完整梳理一遍WNetAddConnection2建连会话以及LogonUser加身份模拟顺带把跨域名、工作组、Samba、权限、错误码这些高频坑一起填了适合做上位机、服务端程序、定时任务的朋友直接抄作业。1. 先把这个“跨域”说清楚不是浏览器跨域是 Windows 访问令牌问题1.1 为什么直接用 UNC 路径会“拒绝访问”你在资源管理器地址栏输入\\server\share能打开换到 C# 程序里用Directory.GetFiles(\\server\share)却报“拒绝访问”原因只有一个进程的访问令牌里没有那个共享认可的凭据。Windows 对共享文件夹的访问不是“路径对不对”的问题而是“你以谁的身份来”。文件系统在收到访问请求时会先看当前线程/进程携带的访问令牌Access Token令牌里包含用户名、组 SID、权限等一堆信息。这个令牌通常来自你登录 Windows 时的会话也就是说你的程序默认带着“当前登录用户”的身份去访问网络资源。如果目标共享文件夹没有给这个用户授权那就不用想了直接拒绝。我们平时在资源管理器里能手动打开是因为系统弹了“Windows 安全”凭据框这一步本质是把另一个账号的身份“附到”当前会话里之后对那台机器的访问就用新凭据。但程序里不会自动弹框或者说弹框也没人输于是就需要我们用代码主动完成“提交新的账号密码”这一步。1.2 跨域/跨机器访问共享的两个基本前提先明确两个基础前提后面实现才不容易乱。第一目标共享必须允许网络访问。服务器端要保证“共享权限”和“NTFS 权限”都给了你准备使用的账号。这是两个独立的层次共享权限Share Permissions管的是通过网络访问共享文件夹的入口NTFS 权限Security 标签页管的是实际文件系统级别的读、写、改、删。最终生效权限取两者的交集。很多人配了共享层的“Everyone 完全控制”但 NTFS 层没有加用户或者反过来都会被拒绝。后文排错章节还会详细讲。第二你要有一个目标机器认可的账号。这个账号可以是目标机器本地的用户工作组环境格式通常写成目标机器名\用户名也可以是域账号格式写成域名\用户名。如果你的程序机器和目标机器不在同一个域、域之间也没有信任关系那本质上是“跨域”访问但账号认证规则并没有变只要你能提供一个在目标共享上有权限的账号密码就能连不是说你非得跟目标域有信任关系才能用它的本地账号。理解到这里就可以看代码层面怎么做到“把账号密码提交进去”。常见就两条路用WNetAddConnection2给当前进程所在会话建立一条到共享的网络连接或者用LogonUser创建一个目标账号的登录令牌并模拟该身份让后续文件操作以那个账号的身份执行。2. 方案一WNetAddConnection2 —— 在进程会话里“悄悄补一张票”2.1 P/Invoke 声明与连接代码WNetAddConnection2是 Windows 网络管理 APImpr.dll中非常经典的一个函数作用是让当前进程所在会话“登记”一个远程共享连接。一旦连接建立成功该进程内后续对\\server\share路径的访问就会自动使用你传入的账号密码不需要每次单独处理凭据。下面是能直接用的 P/Invoke 声明using System.Runtime.InteropServices; [StructLayout(LayoutKind.Sequential, CharSet CharSet.Unicode)] internal struct NETRESOURCE { public uint dwScope; public uint dwType; public uint dwDisplayType; public uint dwUsage; public string lpLocalName; public string lpRemoteName; public string lpComment; public string lpProvider; } internal static class NetworkShare { // RESOURCETYPE_DISK 1表示磁盘资源 const uint RESOURCETYPE_DISK 1; // CONNECT_TEMPORARY 4表示临时连接不会在系统重启后保留 const uint CONNECT_TEMPORARY 0x00000004; [DllImport(mpr.dll, CharSet CharSet.Unicode, SetLastError true)] internal static extern int WNetAddConnection2( ref NETRESOURCE netResource, string password, string username, uint flags); [DllImport(mpr.dll, CharSet CharSet.Unicode, SetLastError true)] internal static extern int WNetCancelConnection2( string name, uint flags, bool force); }这里的NETRESOURCE结构体最核心的就是lpRemoteName和dwType。lpRemoteName填目标共享路径格式就是\\服务器\共享名可以是 IP 也可以是主机名。lpProvider通常传null让系统自己选择网络提供程序比如 SMB 就会自动走 Windows 网络重定向器不需要硬编码。完整连接调用public static void Connect(string remotePath, string username, string password) { var resource new NETRESOURCE { dwType RESOURCETYPE_DISK, lpRemoteName remotePath, lpLocalName null, // 不映射盘符 lpProvider null }; int result WNetAddConnection2( ref resource, password, username, CONNECT_TEMPORARY); if (result ! 0) { throw new Win32Exception(result); } }username参数的格式很重要。目标账号是域账号就写DOMAIN\user是目标机器本地账号就写MACHINE_NAME\localuser。在大部分场景下这种反斜杠格式最稳UPN 格式userdomain.com在部分老系统或 Samba 上反而容易出问题建议优先用域名\用户名写法。2.2 连接、读取、断开的最小示例连上之后进程内其他普通 IO 代码不需要做任何特殊处理直接访问同一路径就行NetworkShare.Connect(\\192.168.1.100\report, 192.168.1.100\samba_user, Pssw0rd); try { string[] files Directory.GetFiles(\\192.168.1.100\report); foreach (string file in files) { Console.WriteLine(Path.GetFileName(file)); } } finally { // 用完断开连接 NetworkShare.Disconnect(\\192.168.1.100\report); }断开封装public static void Disconnect(string remotePath) { WNetCancelConnection2(remotePath, 0, force: true); }force参数传入true表示即使有文件句柄还开着也强制断开这个在程序中途出错、文件流没释放干净时很有用能防止下一次连接时出现“该设备正在使用中”的报错。实际项目里建议把连接对象封装成IDisposable用using块管理生命周期方便在finally或异常时自动断开避免连接残留导致后续重试失败。2.3 为什么用 CONNECT_TEMPORARY不映射盘符flags我传的CONNECT_TEMPORARY这个标志的含义是“这次连接是临时的不会永久保存凭据到系统”。好处很明显第一不会污染用户的 Windows 凭据管理器第二重启之后自动失效不会出现一个隐藏盘符占着资源第三在服务程序里反复建立和断开连接时更干净。lpLocalName传null则表示不映射盘符。很多人习惯先net use Z: \\server\share再访问Z:\但真实项目里我不想为了访问一个路径去占用盘符直接用 UNC 路径就好了。两个选择都可以不映射盘符的好处是不用担心盘符冲突尤其目标服务器多了以后Z:、Y:这种很容易撞车。这套方案的局限也提一下WNetAddConnection2建立的连接是“进程会话级”的。也就是说它影响的是当前登录会话里的所有进程视角不是你 C# 线程里某个局部身份。如果你同时用两个不同账号连接同一台服务器的不同共享很可能会撞出ERROR_SESSION_CREDENTIAL_CONFLICT错误码 1219后面排错章节会细说。3. 方案二LogonUser 模拟身份 —— 让线程以目标账号的身份执行3.1 使用 NEW_CREDENTIALS 登录类型而不是 INTERACTIVE如果你不想动系统级的连接状态想让某一段代码“临时变成目标账号”那就走LogonUser模拟身份这条路。LogonUser是 advapi32.dll 里的接口它可以用指定的用户名密码生成一个访问令牌Token。拿到令牌之后通过WindowsIdentity.Impersonate或 .NET Core 3.0 的WindowsIdentity.RunImpersonated把当前线程模拟成这个账号模拟期间执行的代码就带着这个账号的身份。这里最关键、也最容易踩坑的是dwLogonType参数。很多人习惯用LOGON32_LOGON_INTERACTIVE值为 2但它要求目标账号有“允许本地登录”权限如果你把程序跑在 IIS 应用池、Windows 服务或者一个权限受限的普通用户环境里LogonUser经常会返回falseGetLastError()给出1385未授予请求的登录类型。访问远程共享时推荐用LOGON32_LOGON_NEW_CREDENTIALS值为 9。这个登录类型专门用于“拿着新凭据去访问网络资源”不验证账号在本地系统上的登录权限也不会把当前进程的本地身份整个换掉。它更像是在当前令牌上附加一组网络访问凭据非常贴合“我只想访问那个共享不想动系统其他东西”的场景。P/Invoke 声明[DllImport(advapi32.dll, SetLastError true, CharSet CharSet.Unicode)] internal static extern bool LogonUser( string lpszUsername, string lpszDomain, string lpszPassword, int dwLogonType, int dwLogonProvider, out IntPtr phToken); [DllImport(kernel32.dll, SetLastError true)] internal static extern bool CloseHandle(IntPtr hObject); const int LOGON32_LOGON_NEW_CREDENTIALS 9; const int LOGON32_PROVIDER_WINNT50 3; // 使用 Windows NT 5.0 及之后的安全提供程序3.2 WindowsIdentity.RunImpersonated 的推荐写法在 .NET Framework 时代标准写法是WindowsIdentity identity WindowsIdentity.Impersonate(token); try { // 模拟身份下的访问 } finally { identity.Undo(); }新项目建议直接用WindowsIdentity.RunImpersonated它接受SafeAccessTokenHandle模拟结束自动恢复原始身份代码看起来也整齐很多using System.Runtime.InteropServices; using System.Security.Principal; public static void AccessWithImpersonation( string domain, string username, string password, Action action) { bool ok LogonUser( username, domain, password, LOGON32_LOGON_NEW_CREDENTIALS, LOGON32_PROVIDER_WINNT50, out IntPtr token); if (!ok) { throw new Win32Exception(Marshal.GetLastWin32Error()); } using (SafeAccessTokenHandle handle new SafeAccessTokenHandle(token)) { WindowsIdentity.RunImpersonated(handle, action); } // SafeAccessTokenHandle 释放时会把 token 句柄一起关掉不需要再 CloseHandle }调用AccessWithImpersonation( 192.168.1.100, samba_user, Pssw0rd, () { string[] files Directory.GetFiles(\\192.168.1.100\report); File.Copy(\\192.168.1.100\report\a.xlsx, D:\backup\a.xlsx, true); });注意这里domain参数如果访问的是目标机器本地账号就传机器名或 IP比如192.168.1.100如果是域账号就传域名。要跟username参数配合不要两边重复传。3.3 模拟身份与异步代码的冲突WindowsIdentity.RunImpersonated有一个大坑模拟身份只对当前线程生效它不会跟着await流转。如果你写出这样的代码WindowsIdentity.RunImpersonated(handle, async () { await Task.Delay(1000); // 这一行之后线程可能已经被切换了 File.Copy(\\server\share\1.txt, D:\1.txt, true); // 可能以原身份执行 });await之后代码可能恢复到线程池的另一条线程上新的线程上没有模拟令牌访问共享还是会失败而且这种失败是间歇性的特别难查。解决办法是把模拟范围内的操作保持同步或者把需要授权的文件操作提取成一个同步方法放进模拟块里执行。文件操作通常不会太大读写共享目录这种活儿完全可以同步搞定。LogonUser方案适合“临时、局部、代码块级别”的授权访问。它和WNetAddConnection2是两种完全不同的作用范围选哪个取决于你的场景下一节详细对比。4. 两个方案怎么选连接级 vs 身份级4.1 关键差异对比我用表格把两个方案的核心差异列出来大家按自己场景对号入座。对比维度WNetAddConnection2LogonUser 模拟身份作用范围整个进程所在会话当前线程模拟块内实现复杂度一个结构体 一个 API两个 API 令牌管理是否需要目标账号本地登录权限不需要NEW_CREDENTIALS 不需要INTERACTIVE 需要是否影响系统连接状态会连接保留在会话里不会模拟结束即还原多线程并发连接级所有线程共享模拟令牌线程局部线程间不串与 async/await 配合无特殊限制有坑模拟不跨 await适合场景程序启动时统一建连整个生命周期访问共享某个方法内用特殊身份访问并且不想影响全局这两种方案并不是完全互斥。甚至有一种常见做法先用LogonUser以目标账号登录拿到令牌然后WindowsIdentity.RunImpersonated去调用WNetAddConnection2建立连接这样能解决部分“令牌权限不够导致 WNetConnect 失败”的边界问题。不过正常业务里不用搞这么复杂按下面场景选就行。4.2 实际选择建议如果你的程序就是一台报表服务器、一个定时上传服务、一个上位机程序访问共享这件事贯穿整个程序生命周期那你用WNetAddConnection2最合适启动时连一次后面所有 IO 都走同一个身份省心也不容易撞线程问题。如果你只是业务里的某个小分支需要提权访问共享比如“多数时候用自己的身份只有导出文件到某台内网机器时才用另一个账号”那就用LogonUser模拟把影响范围控制在最小。如果你在写一个通用类库要给别人复用我更推荐把WNetAddConnection2封装成IDisposable因为调用方通常只关心“我访问这段路径要能用”不关心背后是谁的令牌。类库里直接连接最直观也最好维护。5. 实测与排错从“连不上”到“连上了”的完整链路5.1 先用手动 net use 定位问题代码写完后连不上、拒绝访问、找不到网络名这些坑我几乎都踩过一遍。现在我排错的第一件事不是看代码而是先打开命令行手动试net use \\192.168.1.100\report /user:192.168.1.100\samba_user Pssw0rd dir \\192.168.1.100\report net use \\192.168.1.100\report /delete这一段如果能执行成功说明网络通、账号密码对、共享存在、权限正确。那问题就出在代码调用这一层。如果手动这段也失败就按错误码去查省得在代码里反复猜。注意手动测试的时候如果当前 Windows 会话里已经有一个到该服务器的旧连接net use可能会因为凭据冲突报 1219。这时候先net use * /delete /y清理所有连接再测也能顺便验证是不是连接残留问题。5.2 常见错误码快速对照错误码常见原因处理方向1219同一服务器已用其他凭据建立连接冲突断开旧连接或换机器名方式连接53找不到网络路径防火墙、SMB 协议版本、网络不通67找不到网络名共享名拼写错误或服务端共享被删5拒绝访问账号密码对但权限不足共享权限/NTFS 权限只给了另一部分1326用户名或密码错误核对账号格式、密码是否过期1385登录类型未授予LogonUser 用了 INTERACTIVE换成 NEW_CREDENTIALS85本地设备名已在使用盘符冲突改用 UNC 路径或换盘符排错顺序我一般固定为先确认目标 IP 能 ping 通再确认 445 端口开放Test-NetConnection 192.168.1.100 -Port 445再手动net use测试账号。这样做能快速把问题分成“网络层”和“认证层”两块不会瞎猜。5.3 共享权限和 NTFS 权限要一起检查权限问题是最容易“程序写得没问题但就是访问不了”的根源。Windows 下访问共享目录要过两关第一关是共享权限第二关是文件系统 NTFS 权限。最终你能拿到的最小权限是两者的交集。举个例子共享权限给了Everyone 完全控制NTFS 权限只给了samba_user 读取那么你用samba_user登录时能读不能写。反过来如果共享权限只给了samba_user 更改NTFS 权限给了Administrator 完全控制那samba_user连读可能都费劲。所以服务器端不要只盯着一个标签页看两个地方都要给到位。这里也顺便回答一个热词里常见的问题“共享文件夹怎么设置密码”。Windows 共享本身没有“给共享设置一个独立密码”这种东西它的访问控制完全基于 Windows 用户账户。实际做法就是新建一个专用账号设置密码然后只把这个账号加入共享权限和 NTFS 权限列表。客户端连共享时输入的就是这个账号和密码。5.4 遇到 Linux Samba / 群晖 NAS / 虚拟机共享的思路如果你的目标共享其实是 Linux 上的 Samba/CIFS 服务或者群晖、威联通、OpenMediaVault 这类 NAS账号体系往往独立于 Windows 域。这时候域名\用户名的格式经常不灵建议直接用目标设备上的用户名比如nas_user然后WNetAddConnection2的username就传nas_user或设备名\nas_user。Samba 端的坑主要是 SMB 协议版本不一致。Windows 10/11 和 Windows Server 2019 之后默认禁用了 SMB1如果对面的 NAS 或老 Linux 只开了 SMB1就会出现“能 ping 通、445 也通但连接被重置”。这种情况不是代码能解决的要在 NAS/服务端打开 SMB2/3或者在 Windows 侧临时启用 SMB1但强烈不建议安全风险太大。还有一个容易混淆的VMware 虚拟机里的“共享文件夹”不是标准 SMB它走的是 VMware Tools 的 hgfs 协议表现为主机上的一个目录直接挂到虚拟机里。那种情况根本不需要账号密码直接从 VM 设置里配置就行。如果你在虚拟机里用\\hostname\share方式访问宿主机 Windows 共享那才走 SMB才需要本节讲的办法。先确认自己到底在用哪种协议能省下不少排错时间。5.5 64 位进程与架构相关的坑这类网络访问 API 本身不区分 32/64 位但在实际项目里我遇到过 32 位程序访问路径很长或重定向导致的“路径不存在”问题。尤其是跑在 64 位系统上的 32 位程序文件系统重定向会影响System32目录但共享路径一般不受影响。真要出问题最简单的验证方式是把目标平台改成 x64 重新编译跑一次排除架构干扰。另外WNetAddConnection2和LogonUser的 P/Invoke 声明里字符串参数建议显式用CharSet.Unicode。有的老教程写的CharSet.Ansi在中文用户名、中文密码、中文共享名下会直接乱码导致认证失败。统一用 Unicode 声明最稳。6. 凭据管理与安全建议别把密码写死在代码里6.1 密码存储的折中方案这是老生常谈但在真实代码里看到密码明文写死在App.config里的情况还是很多。如果密码泄露等于把内网共享目录整个敞开。我目前的折中方案是开发环境密码放本地appsettings.Development.json并且加入.gitignore不进版本库。生产环境用环境变量或 Windows 凭据管理器Credential Manager读取。一定要落在配置文件里就用 Windows DPAPI 对密码加密ProtectedData.Protect基于当前用户加密解密时用同一个 Windows 用户调用ProtectedData.Unprotect即可。如果你对安全性要求更高可以对接企业内部的密钥管理服务比如 Azure Key Vault、HashiCorp Vault运行时动态获取密码而不是把密码实体放在磁盘上。还有一点如果用的是LogonUserlpszPassword参数理论上可以传SecureString但 P/Invoke 处理起来比较繁琐。作为折中我一般至少做到密码用完立即把字符串变量设为null尽量缩短明文密码在内存里的存活时间。过度的安全设计对内部工具是负担但完全不做防护也说不过去。6.2 最小权限账号与连接生命周期专门为共享访问创建账号时不要直接拿管理员账号到处用。给共享单独开一个低权限账号目录权限只给到“需要的目录、需要的操作”。比如只需要上传就只给“写入”权限不需要给“完全控制”。这样即使账号泄露攻击者能做的也有限。连接生命周期上我的经验是WNetAddConnection2建立的连接不要重复建立和断开太频繁。如果有个定时任务每 5 分钟跑一次每次跑完都断开容易在服务器端留下大量半开会话SMB 连接数在某些系统上会被占光。更好的做法是进程启动时建立连接进程退出时统一释放。如果担心连接在运行期间因为网络波动断掉那就每次使用前检查一下Directory.Exists(remotePath)返回false就重新连接一次这样既不频繁也不僵硬。如果你确实需要频繁切换多个账号访问同一台服务器的不同共享建议为每一组凭据单独建立连接后不要断开或者在做切换前强制断开之前所有到该服务器的连接避免 1219 凭据冲突。为了省事可以用机器名去连其中一个共享、用 IP 去连另一个绕开“同一服务器”判定但这属于歪招不推荐在生产环境用排错会怀疑人生。7. 写在最后的实际体会这套东西我前后在三个项目里用过从最早的 Windows 服务定时拉取报表到后来的上位机需要在产线机器和文件服务器之间传配置再到给一个 NAS 做备份脚本核心都是“先确认身份再访问共享”。最大的经验就一句话先分清楚你要哪种粒度的身份控制再选方案。全局、持续访问用WNetAddConnection2局部、提权访问用LogonUser模拟千万别一上来就两套混着用出了问题很难定位。另外补充一个小习惯手写 P/Invoke 代码时SetLastError true一定记得加。WNetAddConnection2返回非 0 时错误码就是返回值本身而LogonUser返回false时必须通过Marshal.GetLastWin32Error()拿具体错误码。没有这个设置你只能看到“失败”却看不到“为什么失败”排错效率直接砍半。把这些细节焊死在代码里你的共享访问方案才能真正从头到尾跑得稳。