如何借助Windows Credential实现桌面与Web应用SSO

完全可以基于Windows原生凭证体系实现桌面应用、Web应用的SSO，不需要用户重复输入账号密码，整套方案是Windows生态下非常成熟的落地路径，不需要自研复杂的加密存证逻辑。

先把核心概念用直白逻辑梳理清楚，不用一开始就啃晦涩的协议文档：

• Windows Credential：分两类，一类是用户登录Windows系统时输入的域账号凭证，系统会把对应的认证票据存在本地安全子系统（LSASS）里，应用拿不到明文密码，只能申请使用票据做认证；另一类是用户存在系统「凭据管理器」里的各应用账号密码，是系统提供的安全存储区域，比应用自己存在本地文件/注册表里安全得多
• Domain Controller（域控/DC）：企业内网里统一存储所有域账号、做凭证校验的服务器，是域环境下的身份校验核心
• ADFS：如果你的Web应用需要支持外网访问、或者要对接其他系统的身份体系，ADFS就是做身份联邦转换的节点，把Windows域的认证结果转换成Web应用通用的SAML/OAuth令牌，不用把域控直接暴露在公网
• 这套SSO的核心逻辑：不让用户重复输密码，所有认证环节都由Windows系统提供已经过校验的有效票据/凭证，应用只需要把凭证发给身份校验节点验证通过，就算完成登录。

Windows桌面应用侧 #

• 如果是WPF/WinForms/WinUI3这类.NET技术栈开发的桌面应用：
  • 域环境下直接调用WindowsIdentity相关原生类，获取当前登录Windows的用户上下文，提取Kerberos/NTLM票据发给后端服务做校验，全程不用弹登录框
  • 非域环境兼容的话，调用Win32的CredRead/CredWrite接口对接系统凭据管理器：用户第一次登录时把凭证（优先存短期刷新令牌，不要存明文密码）写入凭据管理器，后续应用启动直接读取有效凭证完成登录，不用重复输入
• 如果是Electron/Qt/C++等其他技术栈的桌面应用：域环境下调用系统SSPI接口获取Kerberos票据做认证即可；非域环境对接Windows Credential Manager的官方SDK读写凭证，不要自己在本地明文存密码。

Web应用侧 #

• 纯内网访问场景：直接给Web服务器开启集成Windows认证（IWA），IIS、Nginx、Apache都原生支持这个能力。用户用Edge/Chrome访问时，只要把Web应用的域名加到浏览器的「本地Intranet」可信站点列表，浏览器会自动把当前Windows登录用户的认证票据发给Web服务器，服务器去域控校验通过后直接完成登录，全程不会弹出登录框
• 外网/跨组织访问场景：部署ADFS服务，把你的Web应用配置为ADFS的信赖方。用户访问Web应用时会跳转到ADFS认证页，ADFS会自动复用当前Windows的登录凭证完成校验，不需要用户输入密码，校验通过后返回标准SAML/OAuth令牌给Web应用，完成登录流程。

两类应用的SSO打通逻辑 #

• 域环境下天然打通：桌面应用拿到的用户身份、Web应用通过IWA/ADFS拿到的用户身份，都是域控颁发的全局唯一安全标识符（SID），后端只要做统一的账号映射，用户只要登录一次Windows系统，打开桌面应用、访问Web应用都不需要重复登录
• 非域环境（个人设备、外网办公设备）：统一把首次登录后颁发的长期刷新令牌存入Windows凭据管理器，桌面应用启动直接读取凭据管理器内的有效令牌换登录态；Web应用可以通过自定义URL协议唤起本地桌面应用，获取短期有效访问令牌完成登录，不需要搭域控/ADFS，适合中小团队快速落地。

• 不要尝试读取用户Windows登录的明文密码，系统层面做了权限隔离，普通应用根本拿不到，所有认证流程都走票据/令牌校验逻辑就行
• 配置Kerberos认证的时候一定要正确给服务配置SPN（服务主体名称），不然认证会失败，要么降级成需要输密码的NTLM认证，要么直接报错
• 浏览器默认只会给可信站点自动发送Windows认证票据，做内网IWA的时候记得通过域策略把Web应用域名下发到所有设备的可信站点列表，不然用户那边还是会弹密码框，达不到SSO的效果

内容的提问来源于stack exchange，提问作者Ankush Daga