# 安全描述符不进归档，改为旁挂 `<归档名>.acl.json`

`.7z` / `.zip` / `.tar` 都不承载 NT 安全描述符。7-Zip 的 `-sni` 官方说明写明"当前版本只能
写进 WIM 归档"，所以归档里一个字节的属主或 DACL 都没有。于是每个归档旁边放一份同名的
`<归档名>.acl.json`，恢复时按它回放属主 / 属组 / DACL。

为什么非要有：`C:\ProgramData` 的 ACL 里有 `(A;OICIIO;GA;;;CO)` —— `CREATOR OWNER` 不是
账户，而是在访问检查时替换成"被检查对象的属主"。只回放 ACE 文本、不恢复属主，等于把
"谁创建的东西谁有全权"里的"谁"换成跑恢复脚本的账户，原程序（服务账户 / 专用用户）反而
失去读写权限。

代价：`acl.json` 不在归档里，改名或迁移归档时必须把它一起搬（`tools/Rename-Archives.ps1`
负责这件事，README 里也写明了）。