如何实现用户输入Windows凭证并验证，且不直接处理明文密码？

核心思路 #

借助Windows原生API组合实现：通过系统标准凭据提示框获取用户输入，依赖系统内置机制完成凭证验证，全程不接触明文密码，仅提取所需的用户名、域信息。

具体实现步骤 #

• 弹出标准凭据输入框：使用CredUIPromptForWindowsCredentialsW API唤起符合Windows规范的登录窗口，直接获取加密的凭证缓冲区（而非明文密码），由系统处理用户输入的界面逻辑。
• 解析凭证缓冲区：调用CredUnPackAuthenticationBufferW API，将加密缓冲区解析为明文的用户名、域名（或本地机器名）信息，此过程仅提取身份标识，不会暴露密码内容。
• 验证凭证有效性：通过CredValidateCredentialsW API，传入解析后的用户信息和原始凭证缓冲区，让Windows系统内部对接Active Directory或本地账户数据库完成验证，应用只需接收验证结果即可。

关键代码示例（C++） #

#include <windows.h>
#include <credui.h>

BOOL ValidateAndGetUserInfo(PWSTR* outUsername, PWSTR* outDomain) {
    DWORD authBufferSize = 0;
    PBYTE authBuffer = nullptr;
    DWORD usernameSize = 0;
    DWORD domainSize = 0;
    BOOL isValid = FALSE;

    // 初始化凭据提示框参数
    CREDUI_INFO credUI = { 
        sizeof(CREDUI_INFO), 
        nullptr, 
        L"请输入Windows凭据", 
        L"验证身份以获取应用访问权限", 
        nullptr 
    };

    // 第一次调用获取缓冲区大小
    DWORD err = CredUIPromptForWindowsCredentialsW(
        &credUI,
        0,
        nullptr,
        nullptr,
        &authBufferSize,
        nullptr,
        nullptr,
        CREDUIWIN_GENERIC
    );
    if (err != ERROR_SUCCESS) goto cleanup;

    // 分配缓冲区并获取凭证数据
    authBuffer = new BYTE[authBufferSize];
    err = CredUIPromptForWindowsCredentialsW(
        &credUI,
        0,
        nullptr,
        nullptr,
        &authBufferSize,
        authBuffer,
        nullptr,
        CREDUIWIN_GENERIC
    );
    if (err != ERROR_SUCCESS) goto cleanup;

    // 第一次调用获取用户名、域的缓冲区大小
    err = CredUnPackAuthenticationBufferW(
        0,
        authBuffer,
        authBufferSize,
        nullptr,
        &usernameSize,
        nullptr,
        &domainSize,
        nullptr,
        nullptr
    );
    if (err != ERROR_INSUFFICIENT_BUFFER) goto cleanup;

    // 分配内存并解析出用户名和域
    *outUsername = new WCHAR[usernameSize];
    *outDomain = new WCHAR[domainSize];
    err = CredUnPackAuthenticationBufferW(
        0,
        authBuffer,
        authBufferSize,
        *outUsername,
        &usernameSize,
        *outDomain,
        &domainSize,
        nullptr,
        nullptr
    );
    if (err != ERROR_SUCCESS) goto cleanup;

    // 验证凭证有效性
    isValid = CredValidateCredentialsW(
        *outUsername,
        authBuffer,
        authBufferSize,
        CRED_VALIDATE_GENERIC_CREDENTIALS
    );

cleanup:
    if (authBuffer) delete[] authBuffer;
    if (!isValid) {
        if (*outUsername) { delete[] *outUsername; *outUsername = nullptr; }
        if (*outDomain) { delete[] *outDomain; *outDomain = nullptr; }
    }
    return isValid;
}

注意事项 #

• 确保应用运行的机器用户账户具备访问域控制器（若使用域账户）或本地账户数据库的权限，否则CredValidateCredentialsW可能返回验证失败。
• 需处理API调用的错误码，比如ERROR_INVALID_CREDENTIALS表示凭证无效、ERROR_NO_SUCH_USER表示用户不存在，可根据错误码向用户返回精准提示。
• 无需进行用户身份模拟，应用保持以机器用户身份运行，仅根据验证结果和提取的用户名分配应用内角色权限。

内容的提问来源于stack exchange，提问作者user3696412