[Desktop] 安装到非默认目录后双击无反应：渲染进程 launch-failed，缺 S-1-15-2-2 权限

[Bukubkuchagama]

现象

Windows 桌面端 @deepseek-ai/dsh-desktop 0.1.7-rc.2 装到非默认目录 D:\DSH\DSH Harness 后，双击完全无反应：无窗口、无报错、无弹窗。
把同一份文件复制到 C:\Program Files\DeepSeek Harness 后立即正常。

环境

• Windows 11 10.0.26200.9457（联想 Legion Y9000P，中文用户名）
• 安装包 deepseek-harness-0.1.7-rc.2-win-x64.exe（SHA-512 与 feeds/win-x64/nightly.yml 一致）
• Electron 44.0.0 / Node 24.18.1

证据

%APPDATA%\@deepseek-ai\dsh-desktop\logs\crash-<ts>-renderer.log（每次启动写一份）：

source: renderer
phase:  startup
Error: Desktop renderer exited: launch-failed
    at WebContents.<anonymous> (file:///.../resources/app.asar/lib/main.js:11433:107)

事件日志：DeepSeek Harness.exe 异常代码 0x80000003（STATUS_BREAKPOINT）。
命令行直接运行（> out.txt 2>&1）输出 0 字节。

根因

失败目录的 ACL 不含 S-1-15-2-2（ALL RESTRICTED APPLICATION PACKAGES，即"所有受限制的应用程序包"）：

icacls "D:\DSH\DSH Harness"
  Everyone / Administrators / SYSTEM / Users ...   <- 只有常规权限，缺沙箱授权

而 C:\Program Files\... 下的目录由系统继承自带：

APPLICATION PACKAGE AUTHORITY\所有受限制的应用程序包:(I)(RX)

Chromium 的渲染/GPU 子进程在受限令牌下需要读取程序自身文件；缺该授权时 bootstrap 失败 → 主进程 CHECK 失败 → 0x80000003。

已排除

• 文件完整性（9767 文件复制 0 失败）、账户权限（Administrators / Medium 完整性）、无 WDAC/ASR/SmartScreen 拦截
• AppIDSvc 改为 AUTO_START 并 Running：未解决
• 关闭 ACE 反外挂：未解决
• --no-sandbox / --disable-gpu / --disable-gpu-sandbox：主进程与内置 Host 可起（19387 监听），渲染进程仍 launch-failed

修复验证

icacls "D:\DSH\DSH Harness" /grant "*S-1-15-2-2:(OI)(CI)(RX)" /T

补授权后双击即可正常启动，无需任何启动参数。

建议

在 NSIS 安装/更新流程中补一行（只读+执行，不改写不删除，用 SID 避免本地化差异）：

"$SYSDIR\icacls.exe" "$INSTDIR" /grant *S-1-15-2-2:(OI)(CI)(RX)

同类 Electron 应用已有同样修复，症状描述与本案完全一致（STATUS_BREAKPOINT 0x80000003）：
stablyai/orca#17143

另建议：启动失败时把 crash-*-renderer.log 的路径显示在错误对话框里 —— 目前是完全无反馈失败，用户无法自助排查。

[Bukubkuchagama]

我是一名大学生，不是计算机专业的，上面那些技术细节我其实大部分看不懂。这个问题是我自己碰上的，折腾了很久之后，我的 DSH 说应该来这边报一下，所以我就发了（帖子也是它帮我一起整理的）。
I'm a university student and not a computer science major — I honestly can't follow most of the technical details above. I ran into this problem myself, and after struggling with it for a long time, my DSH told me I should report it here, so I did (it also helped me put the report together).

[Future-3526038670]

桌面端的安卓包在哪，没看到