Windows凭据提供程序V2如何先校验账号密码再验证OTP

针对OTP二次认证场景下账号密码错误仍跳转OTP环节、LogonUserEx预校验无法区分账号异常状态的问题，可按以下方案落地：

• 基于系统错误码区分LogonUserEx返回的不同场景
  原有预校验逻辑的核心问题是未捕获接口调用后的系统错误码，将所有返回false的场景统一判定为密码错误。实际上LogonUserEx调用失败后，可立刻通过GetLastError()拿到精确的错误类型，做分支处理即可：
  • 错误码为ERROR_LOGON_FAILURE(1326)：明确为用户名/密码错误，直接在密码输入页返回错误提示，不进入OTP流程
  • 错误码为ERROR_PASSWORD_EXPIRED(1330)、ERROR_PASSWORD_MUST_CHANGE(1907)：密码过期/需首次修改密码，直接触发系统原生改密流程，不进入OTP流程
  • 错误码为ERROR_ACCOUNT_DISABLED(1331)、ERROR_ACCOUNT_LOCKED_OUT(1909)：账号禁用/锁定，返回对应状态提示
  • 接口调用返回成功：账号密码校验通过，再动态加载OTP输入控件，进入二次验证环节
• 调整凭据UI渲染逻辑
  不要在初始登录页同时渲染密码输入框和OTP输入框，分两阶段控制控件显示：
  1. 第一阶段仅展示账号、密码输入框，拦截用户提交动作先做预校验
  2. 仅当预校验确认账号密码正确、账号状态正常时，才动态显示OTP输入区域，从交互层面阻断错误密码进入OTP环节的路径
• 预校验参数优化
  调用LogonUserEx做预校验时保留LOGON32_LOGON_NETWORK登录类型，该类型不会生成完整的交互式用户登录令牌，不会产生冗余登录会话，性能开销最低；如果接口调用返回了令牌句柄，校验完成后立刻调用CloseHandle释放，避免资源泄漏。

修正后的预校验代码示例 #

// 账号密码预校验逻辑
HANDLE hToken = NULL;
BOOL logonResult = LogonUserExW(
    pszUsername,
    pszDomain,
    pszPassword,
    LOGON32_LOGON_NETWORK,
    LOGON32_PROVIDER_WINNT50,
    &hToken,
    NULL, NULL, NULL, NULL
);
DWORD lastErr = GetLastError();

// 释放返回的令牌句柄，避免资源泄漏
if (hToken) {
    CloseHandle(hToken);
    hToken = NULL;
}

if (!logonResult) {
    *pcpgsr = CPGSR_NO_CREDENTIAL_NOT_FINISHED;
    // 根据错误码返回对应提示
    switch (lastErr) {
        case ERROR_LOGON_FAILURE:
            SHStrDupW(L"用户名或密码错误，请重试", ppwszOptionalStatusText);
            break;
        case ERROR_PASSWORD_EXPIRED:
        case ERROR_PASSWORD_MUST_CHANGE:
            // 触发系统原生改密流程，或返回对应提示
            SHStrDupW(L"密码已过期，请先修改密码", ppwszOptionalStatusText);
            break;
        case ERROR_ACCOUNT_LOCKED_OUT:
            SHStrDupW(L"账号已被锁定，请联系管理员", ppwszOptionalStatusText);
            break;
        case ERROR_ACCOUNT_DISABLED:
            SHStrDupW(L"账号已被禁用，请联系管理员", ppwszOptionalStatusText);
            break;
        default:
            // 其他未覆盖异常走系统默认处理逻辑
            *pcpgsr = CPGSR_CREDENTIAL_FINISHED;
            return hr;
    }
    *pcpsiOptionalStatusIcon = CPSI_ERROR;
    return hr;
}

// 校验通过后加载OTP输入界面，后续OTP校验通过再提交完整凭据完成登录

注意事项 #

预校验时不要使用LOGON32_LOGON_INTERACTIVE登录类型，该类型会提前创建交互式用户会话，会导致后续正式登录时出现双会话、会话权限异常等问题。
域环境下的登录时间限制、工作站登录限制等场景，同样可以通过GetLastError()拿到对应错误码，匹配对应提示或系统处理逻辑即可，无需额外对接域控接口。

内容的提问来源于stack exchange，提问作者VOLVO