如何在无需管理员介入场景下安全保护本地Java嵌入式数据库

核心逻辑是将H2数据库的统一加密主密码与每个用户的个人登录密码绑定，既不需要明文存储主密码，也无需管理员在用户登录时介入输入，全程对用户透明。

• 初始化阶段生成主密码

首次部署应用时，管理员仅需要运行一次初始化流程：系统随机生成一个32位高强度随机字符串作为H2数据库的AES加密主密码，禁止将该主密码明文存储在任何公共目录下，管理员仅需离线备份一次该密码用于后续账号维护即可。

• 主密码加密存储逻辑
  用每个用户的登录密码的派生哈希值作为密钥，加密H2主密码后存储到用户专属目录：
  • 借助Windows原生的用户目录权限隔离能力，将每个用户加密后的H2主密码、单独生成的随机盐值存储在%USERPROFILE%\.你的应用名称\user_config.dat路径下，Windows默认会禁止普通用户访问其他用户的个人目录，从系统层面避免加密配置被窃取。
  • 用户登录密码的哈希算法采用PBKDF2，迭代次数设置为10万次以上，避免密码被暴力破解。
• 用户登录流程改造
  用户打开应用仅需要输入自己的账号和个人登录密码，后台自动完成所有校验，完全不需要用户接触H2主密码：
  1. 读取当前Windows用户目录下存储的专属盐值，对用户输入的登录密码做哈希运算，得到解密密钥
  2. 用该密钥解密存储的加密字符串，拿到H2数据库的主密码
  3. 用解密后的主密码连接加密的H2数据库，同时校验账号权限，仅展示当前用户可访问的信息
• 老年用户适配优化
  • 可选支持Windows Hello指纹/人脸识别登录，用户不需要输入密码，直接刷脸/按指纹就能完成登录，底层逻辑用Windows Hello返回的用户唯一标识作为密钥解密H2主密码即可
  • 登录界面仅保留账号、密码两个输入框，所有提示文字用大号字体，避免出现任何专业术语

• 用户忘记个人登录密码时，管理员仅需要用备份的H2主密码，给用户重设登录密码时重新加密主密码写入用户的专属配置文件即可，不需要修改数据库本身的内容。
• 即使有人拿到数据库文件，H2采用AES-256加密搭配32位随机主密码，暴力破解的成本极高，完全可以保障会员信息安全。
• 后续如果需要更换嵌入式数据库，可直接替换为SQLite+SQLCipher，上层用户登录逻辑完全不需要改动，适配成本极低。

• 安装包打包为一键安装的exe格式，默认安装到公共程序目录，自动给所有Windows用户创建桌面快捷方式，用户点开即可使用，不需要任何额外配置。
• 新增用户时仅需要管理员在应用后台录入账号和初始密码，新用户第一次登录输入初始密码后，系统会自动生成对应的加密配置文件，无需管理员做额外操作。

内容的提问来源于stack exchange，提问作者F4T4liS