Windows部署PySide6开源应用：Keyring后端问题及加密密钥安全解决办法

一、解决Windows下Keyring后端异常问题 #

1. 强制指定Windows专用后端 #

在代码中显式指定Keyring使用Windows凭据管理器作为后端，避免自动检测失败：

import keyring
from keyring.backends.Windows import WinVaultKeyring

# 强制设置Windows后端
keyring.set_keyring(WinVaultKeyring())

# 后续正常使用Keyring API
keyring.set_password("你的应用名称", "密钥存储标识", "生成的密钥内容")
retrieved_key = keyring.get_password("你的应用名称", "密钥存储标识")

2. 打包时确保依赖被正确包含 #

• Nuitka打包：添加参数确保包含Keyring后端和pywin32依赖

nuitka --standalone --include-package=keyring.backends.Windows --enable-plugin=pywin32 --output-dir=dist your_app.py

• PySide6-Deploy打包：在pyproject.toml中添加依赖声明，或在部署配置中包含keyring和pywin32：

[tool.pyside6-deploy]
requires = ["keyring", "pywin32"]

3. 规避单文件打包的路径问题 #

如果使用Nuitka单文件模式，Keyring可能无法找到后端模块，建议先尝试目录模式打包；若必须单文件，可通过--include-data-files指定后端模块的路径：

nuitka --onefile --include-data-files="venv/Lib/site-packages/keyring/backends/Windows/*=keyring/backends/Windows/" --enable-plugin=pywin32 your_app.py

二、替代加密密钥安全方案（针对开源应用防篡改） #

如果Keyring问题仍无法解决，可采用以下本地密钥存储/生成方案：

1. 基于Windows DPAPI的加密存储 #

利用Windows系统自带的DPAPI（数据保护API）加密用户密码，绑定当前用户账户和设备，仅该用户可解密，同时添加哈希校验防止篡改：

import win32crypt
import hashlib
import os
from pathlib import Path

APP_DATA_DIR = Path(os.getenv("APPDATA")) / "你的应用名称"
APP_DATA_DIR.mkdir(exist_ok=True)
KEY_FILE = APP_DATA_DIR / "encrypted_key.dat"
HASH_FILE = APP_DATA_DIR / "key_hash.dat"

def save_encrypted_key(password: str):
    # 加密密码
    encrypted_data = win32crypt.CryptProtectData(password.encode(), None, None, None, None, 0)
    # 生成加密内容的SHA256哈希
    key_hash = hashlib.sha256(encrypted_data).hexdigest()
    # 保存加密数据和哈希
    with open(KEY_FILE, "wb") as f:
        f.write(encrypted_data)
    with open(HASH_FILE, "w") as f:
        f.write(key_hash)

def load_encrypted_key() -> str | None:
    if not KEY_FILE.exists() or not HASH_FILE.exists():
        return None
    # 读取加密数据和哈希
    with open(KEY_FILE, "rb") as f:
        encrypted_data = f.read()
    with open(HASH_FILE, "r") as f:
        stored_hash = f.read().strip()
    # 验证哈希
    if hashlib.sha256(encrypted_data).hexdigest() != stored_hash:
        print("密钥文件已被篡改")
        return None
    # 解密数据
    try:
        decrypted_data = win32crypt.CryptUnprotectData(encrypted_data, None, None, None, 0)[1]
        return decrypted_data.decode()
    except Exception as e:
        print("解密失败：", str(e))
        return None

2. 用户密码+本地固定盐生成密钥 #

不存储密钥，仅存储一个固定盐值，每次启动由用户输入密码，结合盐值生成加密密钥：

import hashlib
from pathlib import Path
import os

APP_DATA_DIR = Path(os.getenv("APPDATA")) / "你的应用名称"
APP_DATA_DIR.mkdir(exist_ok=True)
SALT_FILE = APP_DATA_DIR / "salt.dat"

# 首次启动生成盐值并保存
if not SALT_FILE.exists():
    salt = os.urandom(16)
    with open(SALT_FILE, "wb") as f:
        f.write(salt)
else:
    with open(SALT_FILE, "rb") as f:
        salt = f.read()

def generate_key_from_password(password: str) -> bytes:
    # 使用PBKDF2生成密钥
    return hashlib.pbkdf2_hmac("sha256", password.encode(), salt, 100000)

这种方案无密钥文件可篡改，安全性依赖用户密码强度，缺点是用户每次启动需输入密码。

3. 密钥拆分存储 #

将密钥拆分为两部分，分别存储在AppData文件和用户注册表中，读取时合并：

import winreg
import os
from pathlib import Path

APP_DATA_DIR = Path(os.getenv("APPDATA")) / "你的应用名称"
APP_DATA_DIR.mkdir(exist_ok=True)
KEY_PART1_FILE = APP_DATA_DIR / "key_part1.dat"

def save_split_key(full_key: bytes):
    # 拆分密钥为两部分
    part1 = full_key[:len(full_key)//2]
    part2 = full_key[len(full_key)//2:]
    # 第一部分存文件
    with open(KEY_PART1_FILE, "wb") as f:
        f.write(part1)
    # 第二部分存注册表HKCU
    reg_key = winreg.CreateKey(winreg.HKEY_CURRENT_USER, r"Software\你的应用名称")
    winreg.SetValueEx(reg_key, "KeyPart2", 0, winreg.REG_BINARY, part2)
    winreg.CloseKey(reg_key)

def load_split_key() -> bytes | None:
    if not KEY_PART1_FILE.exists():
        return None
    # 读取第一部分
    with open(KEY_PART1_FILE, "rb") as f:
        part1 = f.read()
    # 读取第二部分
    try:
        reg_key = winreg.OpenKey(winreg.HKEY_CURRENT_USER, r"Software\你的应用名称")
        part2, _ = winreg.QueryValueEx(reg_key, "KeyPart2")
        winreg.CloseKey(reg_key)
        return part1 + part2
    except FileNotFoundError:
        print("注册表项缺失")
        return None

该方案增加了篡改难度，单独修改文件或注册表都无法获取完整密钥，但需注意注册表项的权限问题。

内容的提问来源于stack exchange，提问作者Holo Olagoke