Windows Credential Provider开发：是否可无需自行存储用户密码？

首先明确结论：Windows 存在原生的凭证存储与缓存能力，不需要开发者自行存储用户密码。

适配你需求的原生方案说明 #

• 你可以直接使用系统提供的 CredWriteW/CredReadW 系列凭证 API，底层对接 Windows 凭证管理器，所有存储的凭证会通过当前用户的主密钥自动加密，密钥不会明文存储在本地，仅当前登录态的对应账号有权限解密读取，安全性远高于自行加密存储到注册表的方案。
• 针对你提到的「首次认证成功后后续无需提交密码」的场景，还有更适配的实现逻辑：首次认证通过后，你可以调用 LsaCallAuthenticationPackage 接口请求系统缓存对应账号的有效认证哈希，后续你只需要在 ICredentialProviderCredential::GetSerialization 接口返回时，直接调取系统缓存的认证包即可，不需要你自己维护密码存储逻辑。

相关实现要点 #

• 你不需要自行处理密码更新同步问题：用户修改本地/域账号密码后，系统侧的凭证缓存会自动同步更新，不会出现你提到的本地备份密码失效的问题。
• 注意你描述的接口用法有误：ICredentialProvider::SetSerialization 是系统向 Credential Provider 传入序列化数据的接口，你要向外输出认证数据，应该走 ICredentialProviderCredential::GetSerialization 接口，返回正确的 CREDENTIAL_PROVIDER_GET_SERIALIZATION_RESPONSE 结构体即可，系统会自动对接本地的认证缓存完成校验。

额外建议 #

• 域环境下优先对接 Kerberos 认证包的缓存接口，不要使用 NTLM 哈希缓存，安全性更高。
• 调用 CredWriteW 存储凭证时，优先选择 CRED_TYPE_DOMAIN_PASSWORD 类型，设置正确的持久化标识，系统会自动完成全流程的加密存储、权限管控。

内容的提问来源于stack exchange，提问作者BerndK