Windows桌面应用安装时API密钥安全存储方案咨询

一、最优方案：避免客户端存储API密钥 #

你提到的“桌面应用不使用API密钥”确实是最安全的选择。针对OAuth流程，推荐采用授权码模式+PKCE，全程不需要在客户端存储密钥：客户端仅处理授权码，密钥仅在后端服务与授权服务器交互时使用，从根源上消除客户端密钥泄露风险。

二、必须存储密钥时的替代方案 #

1. DPAPI+安装程序自定义动作 #

Windows安装程序（如MSI）支持自定义动作，可在安装阶段调用DPAPI完成加密：

• 编写C++自定义动作DLL，在安装时以当前用户/系统账户身份调用CryptProtectData API加密密钥，可指定CRYPTPROTECT_LOCAL_MACHINE（共享给本机所有用户）或CRYPTPROTECT_CURRENT_USER（仅当前用户可见）标志。
• 加密后的密文存储到受权限控制的注册表路径（如HKLM\Software\<厂商名>\<应用名>，设置权限仅允许管理员和你的应用访问）或应用专属本地文件夹。
• 注意：安装程序不要明文携带密钥，可将密钥嵌入安装包资源并做简单混淆，或通过加密的自定义参数传递，提升被窃取的门槛。

2. Windows Credential Manager #

利用系统自带的凭据管理器实现应用专属存储：

• 安装时调用CredWriteW API，将API密钥存储为通用凭据，用你的应用唯一标识（如产品GUID）作为凭据名称。
• MFC应用运行时调用CredReadW读取凭据，系统会默认限制只有合法签名的应用才能访问对应凭据，类似移动端的专属安全存储机制。
• 优势：无需自行实现加密逻辑，凭据存储在系统安全区域，默认仅当前用户或管理员可访问。

3. 应用签名+代码完整性验证 #

配合上述存储方案，给应用和安装程序做EV代码签名：

• 在读取密钥的代码中添加签名校验逻辑，检查当前进程的签名合法性，防止篡改后的程序读取密钥。
• 配置Windows Defender Application Control（WDAC）规则，限制只有签名后的应用才能访问存储的密钥，进一步缩小访问范围。

三、关于安装程序的DPAPI支持 #

Windows安装程序（MSI）本身不直接集成DPAPI，但可通过自定义动作调用你编写的C++ DLL，在DLL中执行DPAPI加密逻辑，自定义动作可指定在安装完成前运行，确保密钥加密后再落地存储。

内容的提问来源于stack exchange，提问作者Wayne