简介：这份资源面向使用STM32F407进行嵌入式开发的工程师与学习者，聚焦FLASH读写保护与解除这一安全机制，帮助解决程序代码被非法读取、篡改或擦除的问题。包内共129个文件，以58个h头文件、49个c源文件为核心，辅以12个s汇编启动文件及uvprojx、uvoptx工程文件、sct分散加载文件、bat脚本与txt说明，压缩包约771KB，构成一套可直接编译运行的固件库例程。内容围绕读保护、写保护、选项字节配置展开，涉及FLASH解锁与锁定序列、保护等级设置、FLASH_OBSTAT状态验证等关键环节，并借助HAL与LL库函数演示完整操作流程。已有1176人学习下载，适合希望掌握STM32F407存储安全配置、提升固件可靠性的开发者参考实践。
1. 从一次量产翻车说起：STM32F407 固件库下的 FLASH 读写保护到底怎么用
去年帮一个做工业控制板的朋友收拾烂摊子，产线烧录了 200 片 STM32F407 的板子，结果其中三十多片在现场被客户读出了完整固件，连标定参数都被人抄走了。事后复盘发现，烧录脚本里压根没开读写保护，芯片出厂默认就是全开放状态。这件事之后，我把 STM32F407 固件库（Standard Peripheral Library）里 FLASH 读写保护相关的接口重新捋了一遍，从选项字节的位定义到解除保护的完整流程，全部在板子上跑通验证。这份资源包就是围绕这个场景整理的：它不讲 HAL 库那套封装，而是直接对着固件库的FLASH_OB_*系列函数，把读保护（RDP）和写保护（WRP）的设置、解除、以及解除后整片擦除的连锁反应讲清楚。适合两类人：一是做量产固件保护、需要给产线写烧录脚本的嵌入式工程师；二是做设备维护、拿到带保护芯片需要解锁重新烧录的现场人员。如果你只用 HAL 库或者 CubeMX 点几下就完事，这篇的很多细节你大概率没碰过，但一旦产线出问题，这些细节就是能不能救回板子的分水岭。
2. 选项字节与读写保护：先搞懂 RDP 和 WRP 在寄存器里长什么样
2.1 读保护 RDP：不是“加密”，是禁止调试口读 Flash
很多人把 STM32 的读保护理解成“给固件加密”，这个说法不准确。RDP 的本质是：当读保护生效时，通过调试接口（SWD/JTAG）或者从 RAM 启动的代码，都无法直接读取主 Flash 存储区的内容。它保护的是“访问路径”，不是数据本身。在 STM32F407 里，RDP 是选项字节中的一个字节（地址0x1FFFC000附近，具体偏移看参考手册的选项字节映射），取值分三档：
| RDP 值 | 状态 | 行为 |
|---|---|---|
| 0xAA | Level 0 | 无保护，调试口可读 Flash |
| 非 0xAA 且非 0xCC | Level 1 | 调试口不可读 Flash，但用户代码可正常读写 |
| 0xCC | Level 2 | 永久保护，调试口彻底禁用，不可逆 |
固件库里的FLASH_OB_RDPConfig(uint8_t OB_RDP)就是写这个字节。注意 Level 2 一旦写入，芯片就再也回不来了，调试口永久失效，我一般只在最终出货版本才考虑，开发阶段绝对不碰。
2.2 写保护 WRP：按扇区锁，锁错了自己都写不进去
写保护比读保护更细，它是按扇区（Sector）来锁的。STM32F407 的 Flash 分 12 个扇区，前 4 个各 16KB，第 5 个 64KB，后面 7 个各 128KB。WRP 通过选项字节里的WRP0到WRP11位来控制每个扇区是否可写。固件库对应的是FLASH_OB_WRPConfig(uint32_t OB_WRP, FunctionalState NewState)，第一个参数是扇区掩码，比如OB_WRP_Sector_0到OB_WRP_Sector_11。
这里有个容易翻车的点：写保护生效后，连你自己用FLASH_ProgramWord()去写那个扇区都会被拒绝，返回FLASH_ERROR_WRP。所以如果你把存放参数区的扇区锁了，固件运行时想更新参数就会失败。常见做法是：只锁存放核心代码的扇区（比如 Sector 0 到 Sector 4），把参数区留在未锁的扇区，或者参数区单独用外部 EEPROM。
2.3 选项字节的编程流程：解锁、擦除、写入、重载
不管是设 RDP 还是 WRP，操作选项字节的流程是固定的，固件库把这套流程封装成了几个函数，但顺序不能乱：
#include "stm32f4xx_flash.h" void OptionBytes_Config(void) { /* 1. 解锁 FLASH 访问控制寄存器 */ FLASH_Unlock(); /* 2. 解锁选项字节编程 */ FLASH_OB_Unlock(); /* 3. 擦除选项字节扇区（每次修改前必须擦） */ FLASH_OB_Erase(); /* 4. 等待擦除完成，检查状态 */ FLASH_WaitForLastOperation(); /* 5. 配置读保护为 Level 1（非 0xAA 即生效） */ FLASH_OB_RDPConfig(0x00); /* 写任意非 0xAA/0xCC 值即 Level 1 */ /* 6. 配置写保护：锁住 Sector 0~4 */ FLASH_OB_WRPConfig(OB_WRP_Sector_0 | OB_WRP_Sector_1 | OB_WRP_Sector_2 | OB_WRP_Sector_3 | OB_WRP_Sector_4, ENABLE); /* 7. 启动选项字节编程 */ FLASH_OB_Launch(); /* 8. 锁定选项字节和 FLASH */ FLASH_OB_Lock(); FLASH_Lock(); }逻辑说明：第 3 步的FLASH_OB_Erase()会把整个选项字节区域擦成 0xFF，所以每次修改都是“先擦后写”，不能只写不擦。第 7 步FLASH_OB_Launch()是真正触发硬件把选项字节加载生效的动作，执行完这一句，芯片内部会重新读取选项字节，RDP 和 WRP 立即起作用。参数上，FLASH_OB_RDPConfig传 0x00 是最省事的 Level 1 写法，传 0xCC 就是不可逆的 Level 2，别手滑。
提示：
FLASH_OB_Launch()执行后如果 RDP 从 Level 0 变成 Level 1，芯片会自动触发一次整片擦除，主 Flash 里的代码全没了。这是硬件行为，不是 bug，第一次遇到的人基本都会懵。
3. 解除读写保护：为什么你一解锁，固件就没了
3.1 解除 RDP 的连锁反应：整片擦除躲不掉
这是整个话题里血泪经验最多的地方。当你把 RDP 从 Level 1 改回 Level 0（也就是解除读保护）时，STM32F407 硬件会强制擦除整个主 Flash 存储区。也就是说，你解锁的瞬间，之前烧进去的固件、参数、任何东西，全部归零。这个行为在参考手册里有写，但很多人不看，解锁完发现程序跑不起来，还以为芯片坏了。
所以正确的解锁流程是：先解除 RDP，接受整片擦除，然后重新烧录固件。如果你只是想临时读一下 Flash 内容，那对不起，Level 1 下调试口读不了，解除又必然擦除，没有中间路线。这也是 RDP 作为保护手段的价值所在——它让“读固件”这件事的代价变成“固件没了”。
3.2 解除 WRP：单独解锁扇区，不影响其他数据
写保护的解除就温和多了。WRP 只影响写操作，解除某个扇区的写保护不会擦除数据。流程和设置时一样，先擦选项字节，再把对应扇区的 WRP 位清掉，最后 Launch：
void WRP_Unlock_Sector0_to_4(void) { FLASH_Unlock(); FLASH_OB_Unlock(); /* 擦除选项字节 */ FLASH_OB_Erase(); FLASH_WaitForLastOperation(); /* 解除 Sector 0~4 的写保护 */ FLASH_OB_WRPConfig(OB_WRP_Sector_0 | OB_WRP_Sector_1 | OB_WRP_Sector_2 | OB_WRP_Sector_3 | OB_WRP_Sector_4, DISABLE); FLASH_OB_Launch(); FLASH_OB_Lock(); FLASH_Lock(); }参数说明：FLASH_OB_WRPConfig的第二个参数传DISABLE就是解除，传ENABLE是加锁。注意这里传的掩码必须和当初加锁时的掩码一致，否则会出现“解了但没完全解”的情况——比如当初锁了 Sector 0~4，你只传 Sector 0，那 Sector 1~4 还是锁着的。
3.3 用调试器解除保护的实操步骤
现场维护时，经常是拿一个 ST-Link 或者 J-Link 直接连板子。以 ST-Link Utility（或 STM32CubeProgrammer）为例，解除 RDP 的步骤是：
- 连接目标芯片，如果 RDP 是 Level 1，工具会提示“读保护已启用”。
- 进入
Target菜单，选择Option Bytes。 - 在 Read Out Protection 一栏，把值从 Level 1 改回 Level 0。
- 点击 Apply，工具会弹窗警告“此操作将擦除整个 Flash”，确认。
- 等待擦除完成，芯片恢复可读可写状态。
如果你是用命令行工具，比如STM32_Programmer_CLI，对应命令是：
STM32_Programmer_CLI -c port=SWD -ob RDP=0xAA这条命令执行后同样会触发整片擦除。参数RDP=0xAA就是 Level 0，-ob表示操作选项字节。执行前确保你手上有原始固件，否则擦完就真没了。
注意：有些克隆版 ST-Link 在解除 RDP 时会在擦除阶段掉线，导致芯片处于半擦除状态。遇到这种情况，重新上电再连一次，通常能继续完成擦除。如果反复失败，换原厂调试器。
4. 避坑与排查：五个真实踩过的坑
4.1 坑一：设了 RDP 后调试口连不上，以为芯片锁死
现象：在代码里调用FLASH_OB_RDPConfig(0x00)并 Launch 之后，ST-Link 再也连不上芯片，IDE 报“No target connected”。
原因：RDP Level 1 生效后，调试接口的读访问被硬件禁止，调试器无法读取芯片 ID 和 Flash 内容，所以连接握手失败。这不是芯片坏了，是保护机制在起作用。
解决：用 STM32CubeProgrammer 的“Connect Under Reset”模式，或者在连接时把 BOOT0 拉高、从系统存储器启动，再执行解除 RDP 操作。解除后整片擦除，芯片恢复可连。
4.2 坑二：解除 RDP 后固件没了，产线停线
现象：现场维护人员为了读一下芯片里的参数，执行了解除读保护，结果整片 Flash 被擦，设备变砖。
原因：解除 RDP 必然触发整片擦除，这是硬件设计，没有绕过的方法。
解决：产线必须保留每块板的原始固件备份，解锁后重新烧录。更好的做法是：参数区不要放在主 Flash 的被保护扇区里，而是放在独立的 EEPROM 或未锁扇区，这样即使解锁也不会丢参数。
4.3 坑三：WRP 锁了扇区，运行时写参数失败
现象：固件运行到参数保存环节，FLASH_ProgramWord()返回FLASH_ERROR_WRP，参数写不进去。
原因：参数所在的扇区被 WRP 锁了，任何写操作都会被拒绝。
解决：检查FLASH_OB_WRPConfig的掩码，确认参数区扇区没有被包含在写保护范围内。如果已经锁了，需要先解除 WRP（不会擦数据），再重新烧录固件。
4.4 坑四：选项字节擦除不彻底，写入后不生效
现象：调用FLASH_OB_Erase()后直接写新值，Launch 之后发现保护状态没变。
原因：FLASH_OB_Erase()是异步操作，没有等待完成就写新值，导致写入被忽略或写入了错误的值。
解决：每次FLASH_OB_Erase()之后必须调用FLASH_WaitForLastOperation()，并检查返回值是否为FLASH_COMPLETE。固件库的例程里通常有这一步，但自己写的时候容易漏。
4.5 坑五：Level 2 写进去，芯片彻底变砖
现象：手滑把 RDP 配成了 0xCC，之后调试口永久失效，无法再修改任何选项字节。
原因：RDP Level 2 是不可逆的，硬件设计如此，没有任何后门。
解决：没有解决。这颗芯片只能当普通 MCU 用，但再也无法调试和重新烧录。唯一能做的就是换芯片。所以开发阶段永远不要碰 0xCC，量产前也要在脚本里加断言，防止误写。
5. 进阶技巧：用固件库做一套可回退的保护方案
前面讲的都是单点操作，实际项目里我更推荐一套“可回退”的保护策略：开发阶段 RDP 保持 Level 0，WRP 只锁核心代码扇区；量产阶段通过烧录脚本自动切到 RDP Level 1，同时保留一个未锁扇区存放设备序列号和标定参数。这样即使现场需要解锁维护，参数也不会丢，重新烧录固件即可恢复。
具体实现上，我会在固件里留一个“保护状态查询”函数，通过读选项字节的副本（FLASH_OB_GetRDP()和FLASH_OB_GetWRP()）来判断当前保护级别，并在串口日志里打印出来。这样产线测试时一眼就能看出这块板子有没有开保护。
void Print_Protection_Status(void) { uint8_t rdp = FLASH_OB_GetRDP(); uint32_t wrp = FLASH_OB_GetWRP(); printf("RDP Level: %s\r\n", (rdp == 0xAA) ? "Level 0 (None)" : (rdp == 0xCC) ? "Level 2 (Permanent)" : "Level 1 (Active)"); printf("WRP Mask: 0x%08X\r\n", wrp); for (int i = 0; i < 12; i++) { if (wrp & (1 << i)) { printf(" Sector %d: Write Protected\r\n", i); } } }这段代码在产线工装里跑一遍，操作员就能确认保护是否生效。参数上，FLASH_OB_GetRDP()返回的是当前 RDP 字节值，FLASH_OB_GetWRP()返回的是 12 位掩码。注意这两个函数读的是选项字节的缓存副本，不需要解锁 FLASH。
还有一个验证技巧：设置完保护后，不要只信代码里的返回值，用调试器实际连一次，看是否被拒绝。我一般会在 Launch 之后断电重启，再用 ST-Link 尝试读 Flash，如果读出来全是 0xFF 或者直接连不上，说明保护生效了。这个“断电重启再验证”的习惯，帮我避免过好几次“以为设了其实没设”的尴尬。
从那以后，我每次给客户做量产固件，都会在烧录脚本最后加一步：读回选项字节并打印，确认 RDP 和 WRP 的值和预期一致，才允许板子下线。希望帮到你。
本文还有配套的精品资源，点击获取
