一、问题的起点
WhatsApp桌面端（Windows UWP版）的聊天数据不会明文落盘到本地文件系统。但在某些场景下——比如分析本地缓存行为、理解存储占用、或取证分析——需要定位其本地数据文件的具体位置和结构。
本文针对Microsoft Store版本的WhatsApp桌面客户端，分析其本地存储路径、加密后的SQLite数据库结构以及媒体文件的缓存机制。
二、本地数据存储路径
Microsoft Store版本（UWP）的WhatsApp Desktop数据存放在Windows沙箱化的AppData路径下：
C:\Users\{USERNAME}\AppData\Local\Packages\5319275A.WhatsAppDesktop_cv1g1gvanyjgm\LocalState\其中5319275A.WhatsAppDesktop_cv1g1gvanyjgm是UWP应用的包标识符（Package Family Name），每台机器可能不同。如果你的机器上存在多个类似名称的目录，通过查看目录内的LocalState是否包含shared子文件夹来判断。
关键子目录结构：
| 路径 | 内容 |
|---|---|
LocalState\shared\transfers\ | 接收/发送的媒体文件缓存（图片、视频、文档），按年份分文件夹 |
LocalState\ | 根目录存放加密的SQLite数据库文件 |
三、核心数据库文件：message.db
在LocalState根目录下可以找到一个名为messages.db或类似命名的文件。这是一个SQLite3格式的数据库，但整个文件经过加密。
具体特征：
- 文件头不是标准的SQLite3魔数
53514C697465（“SQLite”） - 用十六进制编辑器打开，文件头呈现随机字节分布
- 无法用标准
sqlite3命令行工具直接打开
WhatsApp桌面端使用的是多层加密方案：数据库文件本身经过AES-256-CBC加密，加密密钥存储在Windows凭据管理器（Credential Manager）中，受当前登录用户的DPAPI保护。
通常的密钥存储位置：
控制面板→凭据管理器→Windows凭据→通用凭据凭据名称通常包含WhatsApp字样。
四、媒体文件缓存机制
shared\transfers\下的文件具有以下特征：
- 文件名经过哈希处理，不包含原始文件名
- 文件扩展名保留（.jpg、.mp4、.pdf等）
- 图片文件可能被压缩或转码，与原始发送文件存在质量差异
- 传输完成后文件不会被自动清理，长期使用可能导致磁盘占用增加
清理策略：WhatsApp桌面端目前没有内置的自动缓存清理功能。手动清理shared\transfers\下的文件不会影响聊天记录（消息列表中仍会显示缩略图，仅在点击查看原图时会提示文件不存在）。
五、从技术角度理解数据安全性
WhatsApp桌面端的本地数据安全模型建立在Windows DPAPI之上。数据仅在当前用户登录会话中可访问，且消息内容在传输层（Signal Protocol E2EE）和存储层（SQLite AES加密）均有加密保护。这一设计确保即使攻击者获取了本地数据库文件，在没有对应Windows用户登录凭据的情况下也无法解密。
下载地址：WhatsApp最新下载
**免责声明：**本文旨在分析公开版本WhatsApp桌面客户端的本地存储行为，仅供技术研究和学习参考。对本地加密数据的任何未经授权的访问可能违反相关法律法规。
