如何基于自定义Credential Provider实现Windows身份验证？

核心逻辑说明 #

Windows Credential Provider的核心职责不是自行对比密码，而是将用户输入的凭据加密、序列化后交给系统（Winlogon/LogonUI），由系统调用对应身份验证包（如Kerberos/NTLM）完成验证。你只需要正确收集、处理凭据并传递给系统即可。

关键步骤与代码解析 #

1. 输入数据的获取 #

用户在登录磁贴中输入的用户名、密码会通过系统调用SetFieldValue方法，更新到你的Credential类成员变量中（比如代码里的_rgFieldStrings[SFI_USERNAME]和_rgFieldStrings[SFI_PASSWORD]），这是你获取用户输入的入口。

2. 凭据保护与序列化 #

你的GetSerialization方法已经实现了标准的凭据处理流程，核心步骤如下：

• 密码加密：调用ProtectIfNecessaryAndCopyPassword，根据当前场景（登录/解锁/CredUI）对密码进行加密保护，避免明文泄露。
• 凭据序列化：
  • 针对CredUI场景：使用CredPackAuthenticationBufferW将用户名、密码打包成系统可识别的缓冲区格式。
  • 针对登录/解锁场景：构造KERB_INTERACTIVE_UNLOCK_LOGON结构，通过KerbInteractiveUnlockLogonInit初始化凭据信息，再用KerbInteractiveUnlockLogonPack完成序列化。
• 指定验证模块：调用RetrieveNegotiateAuthPackage获取协商身份验证包的ID，告诉系统使用哪个验证模块处理当前凭据。

3. 提交凭据给系统 #

完成序列化后，设置*pcpgsr = CPGSR_RETURN_CREDENTIAL_FINISHED，通知LogonUI可以将凭据提交给系统。后续的密码对比、身份验证流程由系统自动完成，验证结果会通过ReportResult方法反馈给你的Credential Provider。

为什么不需要自行对比密码 #

Windows身份验证体系采用模块化设计，Credential Provider仅负责凭据收集与传递，实际验证由系统级的身份验证包执行。这种设计避免了密码暴露在你的进程空间中，从根源上提升了安全性。

代码核心片段注释 #

// 加密用户输入的密码，避免明文传输
hr = ProtectIfNecessaryAndCopyPassword(_rgFieldStrings[SFI_PASSWORD], _cpus, &pwzProtectedPassword);

// 根据不同场景选择序列化逻辑
if (CPUS_CREDUI == _cpus) {
    // CredUI场景使用系统API打包凭据
    CredPackAuthenticationBufferW((CREDUIWIN_PACK_32_WOW & _dwFlags) ? CRED_PACK_WOW_BUFFER : 0, pwzDomainUsername, pwzProtectedPassword, rgb, &cb);
} else {
    // 登录/解锁场景构造Kerberos交互登录结构
    KERB_INTERACTIVE_UNLOCK_LOGON kiul;
    hr = KerbInteractiveUnlockLogonInit(wsz, _rgFieldStrings[SFI_USERNAME], pwzProtectedPassword, _cpus, &kiul);
    hr = KerbInteractiveUnlockLogonPack(kiul, &pcpcs->rgbSerialization, &pcpcs->cbSerialization);
}

// 获取身份验证包ID，指定系统验证模块
RetrieveNegotiateAuthPackage(&ulAuthPackage);
pcpcs->ulAuthenticationPackage = ulAuthPackage;

// 通知系统：凭据已准备完毕，可以提交验证
*pcpgsr = CPGSR_RETURN_CREDENTIAL_FINISHED;

额外注意事项 #

• 如果需要对接第三方身份系统实现自定义验证，必须开发自定义身份验证包，而非在Credential Provider中直接处理密码对比。
• 严格管理内存分配与释放，代码中HeapAlloc/HeapFree、CoTaskMemFree的调用需保持配对，避免内存泄漏。

内容的提问来源于stack exchange，提问作者Alex Ivanov