HID U盘插入即自动执行登录程序的开发问题咨询

1. 确定USB复合设备硬件架构 #

你需要将设备设计为三接口USB复合设备，三类接口均依赖系统自带默认驱动，无需额外预装程序：

• 只读CD-ROM大容量存储接口：Windows 8+和CentOS默认支持自动挂载该类设备，你需要将静态编译好的Windows/Linux双平台登录程序放在该分区内。注意：Windows从Vista版本开始已经完全禁用普通U盘的自动运行逻辑，仅保留CD-ROM设备的启动提示权限，不要尝试实现完全无交互的静默启动，该路径已经被系统安全策略堵死，用户仅需点击一次系统弹出的运行确认即可启动程序，属于合规可实现的方案。
• HID通信接口：用于登录程序和硬件之间传输密码、验证状态等数据，Windows和Linux默认自带HID驱动，无需额外适配。
• 加密大容量存储接口：默认状态下对操作系统隐藏不可见，仅当HID接口收到正确的验证密码后，才会枚举挂载给系统访问。

2. 硬件固件开发 #

优先选择带原生USB OTG功能的主控（如STM32F103、STM32H7、ESP32-S2等），基于现有开源USB复合设备框架开发即可：

• 首先完成复合设备枚举逻辑开发，确保插入目标系统后可以正常识别出CD-ROM和HID两个设备，加密存储分区默认不挂载。
• 实现密码验证逻辑：设备本地仅存储密码的哈希值（推荐用SHA-256），不要存明文，收到HID传输的密码后做哈希比对，比对通过后触发加密存储分区的枚举。
• 加密存储建议用硬件级AES加密，密钥存储在主控的安全存储区，不要存在普通Flash区域，避免暴力拆解窃取数据。如果用NAND Flash作为存储介质，需额外实现坏块管理和掉电保护逻辑，避免数据损坏。

3. 跨平台登录程序开发 #

为了避免依赖系统预装环境，优先选择C++开发，其次才是Python打包方案：

• C++开发方案：Windows端编译为静态链接的x86/x64 exe文件，Linux端编译为兼容CentOS 7及以上版本的静态ELF文件，所有依赖库（如HIDAPI）全部静态编译进二进制，无需依赖系统动态库。
• Python开发方案：必须用PyInstaller等工具打包为单文件可执行程序，确保不需要目标系统安装Python环境即可运行，注意打包后要做兼容性测试，避免不同系统版本的依赖缺失问题。
• 程序功能尽量简化：仅保留密码输入框、验证逻辑，验证通过后自动退出即可，不要添加多余功能降低兼容性。

• Windows端兼容性：测试要覆盖Win8、Win10、Win11的全版本，注意不要添加任何绕过UAC、修改系统配置的逻辑，否则会被系统自带杀毒软件或者第三方安全软件报毒拦截。
• Linux端权限问题：CentOS默认普通用户没有HID设备的访问权限，两种解决方案：一是在CD-ROM分区附带udev规则文件，提示用户首次使用时用root权限将规则放到/etc/udev/rules.d/目录下，后续普通用户即可正常访问；二是让登录程序默认请求root权限运行，CentOS会弹出授权提示，用户确认后即可正常访问HID设备。
• 不要尝试突破系统安全策略：不管是Windows还是Linux，均已将外来存储设备的静默自动运行列为高危安全风险，完全无交互的自动启动不存在稳定可用的实现方案，哪怕利用临时漏洞实现也会被系统更新修复，没有实用价值。
• 存储性能优化：如果加密分区容量较大，注意优化主控的读写速度，避免出现读写卡顿的问题。

内容的提问来源于stack exchange，提问作者Paul Efford