从 Windows 10 下 IE 11 开启 Flash 卡死说起

忽然惊喜的发现，自己原来写在 oschina 上的文章，找到入口了。自从它要求绑定手机后，因不想提供手机号，我再也没找到原来的文章。既然失而复得，转几个还有点价值的文章到这里，以免再次丢失。

[原文]写于 2016/06/16 14:17

缘起是装了一个 Windows 10，结果发现 Windows 10 内的 IE 11 开许多网站都卡死，很容易定位到原因是网站中的 Flash 打不开。按 Adobe 给出的方案，什么管理加载项啊，ActiveX Filter 之内的都没能解决。IE 还是用的比较多，不能少哇，翻墙 google 一番，最后在微软的这个帖子里找到蛛丝马迹：

https://social.technet.microsoft.com/Forums/en-US/9c4785ab-d91f-4e67-a257-0aedfd99610f/ie-11-on-windows-10-crashes-with-protected-mode-on?forum=ieitprocurrentver

按下 WinKey+R，输入 cmd，开启命令窗口，执行下面命令就 OK 啦！

icacls "%USERPROFILE%\AppData\LocalLow" /setintegritylevel (CI)(OI)L 

原因是 Windows 10 的在建立用户的 profile 时有个 bug，在建立"%USERPROFILE%\AppData\LocalLow"目录时，权限设置有问题，用上面的命令修复一下即可。

或者按帖子中的说法，把 C:\Users\Default\AppData\LocalLow 下的子目录都删掉，以后新建的用户 Profile 也是 OK 的。

这里有 2 个相关联的东东：

1. IE 的保护模式 Protected Mode
2. icacls 是设置 ntfs 目录和文件访问权限的命令行工具。然而 setintegritylevel 参数起什么作用？

这篇文章有详细的解释： https://msdn.microsoft.com/zh-tw/windows/gg535581.aspx

早先 Windows 只能在 ntfs 的文件目录设置访问控制权限(ACL)，即谁有权限可以读写系统中的文件。但是某用户若对一个文件有读写权限，那么同一个用户开启的程序都能读写这个文件，这不够安全。

以下内容引自上面链接：

因此，从 Windows Vista 开始，处理程序 (process) 与资源 (具备 ACL，能够设权限，例如: 档案) 两者都具备 Mandatory Integrity Level (IL)，IL 总共有四级： . Low (100)：保护模式下的 IE . Medium (200)：一般正常的处理程序 . High (300)：提升特权后的处理程序 . System (400)：系统处理程序 (包含 Automatic Update) 在某一个处理程序尝试要修改某一个资源时，会在检查权限之前，先检查两者的 IL 等级，只有在处理程序的 IL 等级大于等于所要修改的资源的 IL 等级时，才会去检查资源的权限，否则就直接拒绝修改。 

IE 如果是在保护模式下执行，那么此时的 IE 处理程序就会在 IL=Low 的等级执行。IE 保护模式 

在保护模式执行下的 IE，如果下载并执行了恶意软件 (例如 ActiveX 控件)，这些恶程序就无法对系统造成任何伤害，因为系统上的其它处理程序和资源的 IL 一定都在 Medium 等级以上。 

对 IE 的保护模式更详细的说明见下面链接：

understanding enhanced protected mode