关于设置dsh工作区到桌面导致部分程序运行报错的修复办法

xexing

起因：我设置的DSH 会话的工作区是 C:\Users\Administrator\Desktop，导致workspace-write 沙箱在工作区上打了常驻授权：能力 SID 允许 ACE + Everyone:(CI)(DENY)(S,DC) + Mandatory Label\Low Mandatory Level:(OI)(CI)(NW)，于是 Desktop 整棵子树里的文件都继承了 Low 完整性标签。
当我启动我正常的程序时直接弹窗：      


进程完整性不能高于其镜像文件的完整性标签。我即使在高完整性的 cmd 里启动，进程也会被降到 Low：

Low 进程按 No-Write-Up 规则，写不了任何 Medium 标签的位置：%TEMP%、ProgramData、Documents、磁盘根 → CreateDirectoryW 返回 5 拒绝访问
PyInstaller 引导器只会报 Could not create temporary directory!；.NET 的 OpenTrace 则是 0xE0434352


最后我运行了这三个命令才搞好:
icacls "C:\Users\Administrator\Desktop" /setintegritylevel (OI)(CI)M /T /C    （将标签恢复成 Medium）
icacls "C:\Users\Administrator\Desktop" /remove:d Everyone /T /C
icacls "C:\Users\Administrator\Desktop" /remove "S-1-4-1039366120-933337351" /T /C      （清掉沙箱留下的拒绝项和能力 SID 授权）