是否可将Windows SAM密码同步到本地文件适配自定义Credential Provider验证

问题1：用户修改Windows账户密码时同步本地数据库的可行方案 #

• 采用微软官方提供的**密码过滤DLL（Password Filter DLL）**机制实现：这是Windows原生预留的密码变更回调接口，系统在用户完成密码修改校验后，会主动调用所有已注册的密码过滤DLL的PasswordChangeNotify入口函数，你可以在该回调中直接获取明文的新密码、用户名、域名信息，计算对应哈希后更新你的本地数据库。
• 部署注意事项：
  • DLL必须使用可信证书签名，放入C:\Windows\System32目录
  • 在注册表路径HKLM\SYSTEM\CurrentControlSet\Control\Lsa\Notification Packages中添加你的DLL名称（不需要加.dll后缀）
  • 必须根据目标系统架构编译对应32/64位版本，回调函数必须做好异常捕获，避免出错导致系统密码修改流程崩溃

问题2：本地数据库存储格式调整建议 #

现有存储逻辑无需做结构性调整，仅需做以下安全优化即可：

• 哈希计算必须使用系统原生BCrypt系列API实现，不要使用自定义哈希算法，每个用户条目搭配独立随机盐值生成哈希，避免全局盐泄露导致全库数据被破解
• 锁定数据库文件权限，仅允许SYSTEM身份进行读写操作，禁止所有普通用户、甚至管理员权限的访问，避免数据被窃取
• 可选新增版本号字段，方便后续认证逻辑迭代时做向下兼容，无需全量重建数据库

问题3：基于系统接口实现无需存储用户密码的校验方案 #

可以实现，完全不需要读取SAM数据库内容，使用Windows官方提供的LSA认证接口即可：

• 你的Credential Provider完成无密码因子（如扫码、生物特征、硬件Key等）的校验确认用户身份合法后，直接调用LsaLogonUser系统API，传入用户名、域名等公开信息，由系统内核直接完成和SAM/AD的身份校验，你无需持有或存储用户的密码、密码哈希等敏感信息
• 若为域环境部署，还可直接对接LDAP认证接口完成身份校验，同样不需要存储用户敏感信息
• 禁止尝试读取或破解SAM数据库：该操作违反微软安全策略，且不同Windows版本的SAM加密逻辑会持续迭代，兼容性极差，同时会严重违反等保合规要求

内容的提问来源于stack exchange，提问作者MH Rahman