**1. 干什么** 访问令牌（Access Token，即携带用户 SID、组 SID 集合、特权集合、会话与提升标记的内核凭证对象）在进程创建时由内核配发，每次系统调用由内核取出与对象安全描述符比对。 **2. 谁在调** * 用户态主体：进程与线程。 * 系统层封装：OpenProcessToken、GetTokenInformation、AccessCheck（advapi32）。 * 内核态主体：令牌对象、NtOpenProcessToken、NtQueryInformationToken。 **3. 做什么业务** 主令牌（Primary Token）挂载在进程对象上，代表进程身份。模拟令牌（Impersonation Token）挂载在线程上，使线程临时以另一用户身份执行，如 SYSTEM 服务接到用户请求后模拟该用户读取文件。令牌内含用户 SID、组 SID 列表、特权位（如 SeDebugPrivilege 可打开任意进程内存，SeTakeOwnershipPrivilege 可夺取文件所有权）、会话 ID 与提升标记。同一管理员登录存在完整令牌与过