# 进程权限与隔离

| 层次 | Windows | Linux |
| --- | --- | --- |
| 账户权限 | 用户访问令牌、SID 与文件 ACL | UID、GID、附加组与文件权限 |
| 代理 IPC | 命名管道 ACL 与对端身份校验 | socket 路径权限与 peer credentials |
| 进程归属 | Job Object 与进程句柄 | 进程组与 systemd/cgroup |
| 系统管理 | 令牌权限及提升策略 | capabilities、sudo、polkit |

网络宿主以服务账户执行网络与授权逻辑；用户代理以目标账户执行终端程序。身份切换或代理创建接口接受经过验证的账户映射和限定启动参数。

工作区清理追踪完整进程树。显式结束先执行有序退出，再按策略终止剩余进程，并释放 PTY 及本机通信资源。

完全复用用户环境时，终端具备该用户相应的系统访问能力。部署权限策略决定进程提升、系统管理和共享目录访问范围。文件权限在实际存储后端验收，见[存储说明](storage.md)。

验收包括不同账户的代理访问、伪造映射、越权工作目录、子进程清理，以及普通账户的管理权限边界。