WCP中调用LsaLogonUser实现Windows自动登录失败排查

你的代码确实成功调用了LsaLogonUser生成了用户令牌，但没有完成Windows登录的核心原因是没有遵循Credential Provider的标准交互流程，直接生成并关闭令牌的操作无法触发Winlogon完成会话初始化。以下是你遗漏的关键步骤：

1. 不能自行关闭登录令牌 #

你的代码在LsaLogonUser成功后立刻调用CloseHandle(token)，但Winlogon需要使用这个令牌来创建用户会话、加载配置文件。直接关闭令牌会导致Winlogon无法获取有效凭据完成后续流程，这是核心错误。

2. 必须通过WCP接口将令牌返回给Winlogon #

Credential Provider的核心职责是通过ICredentialProviderCredential接口的GetSerialization方法，将登录令牌（或序列化后的认证数据）提交给Winlogon，而不是自行处理令牌。Winlogon只有接收到这个接口返回的结果，才会启动用户登录的后续流程（创建会话、加载用户配置、启动explorer等）。

3. 令牌需要转换为Primary类型 #

LsaLogonUser返回的令牌通常是模拟令牌，无法直接用于创建用户会话。需要调用DuplicateTokenEx将其转换为Primary令牌，确保Winlogon能使用它初始化会话：

// 转换令牌示例
HANDLE primaryToken = nullptr;
if (!DuplicateTokenEx(token, TOKEN_ALL_ACCESS, nullptr, SecurityIdentification, TokenPrimary, &primaryToken)) {
    // 处理错误逻辑
}
CloseHandle(token); // 此时可以关闭原模拟令牌

4. 正确配置TokenSource #

你从当前LogonUI进程获取的TokenSource不适合用户登录会话，应该创建自定义的TokenSource，确保令牌来源标识唯一且符合登录要求：

TOKEN_SOURCE tokenSource = {};
strcpy_s(tokenSource.SourceName, "MyCustomWCP"); // 设置自定义来源名称
tokenSource.SourceIdentifier = {0}; // 可通过AllocateLocallyUniqueId生成唯一ID

5. 遵循WCP完整流程规范 #

你的代码只是孤立调用了登录接口，但WCP需要完整实现以下接口逻辑：

• 实现ICredentialProvider的GetCredentialCount、GetCredentialAt方法，让LogonUI识别你的凭据项（可以配置为自动触发，无需用户点击）；
• 在GetSerialization方法中完成LsaLogonUser调用、令牌转换，并将结果填入CREDENTIAL_PROVIDER_GET_SERIALIZATION_RESPONSE结构体返回给Winlogon；
• 确保Winlogon能正确加载用户配置文件（LsaLogonUser返回的profileBuffer需由Winlogon处理，不要提前释放）。

内容的提问来源于stack exchange，提问作者Alex