实战 | 将 Android 生物识别身份验证整合至应用中

本文是 Android 生物识别身份验证系列文章的第二篇，上篇文章 主要通过比较传统用户名和密码的认证方式和生物识别身份认证方式的不同，以及介绍生物识别加密的不同加密方式，来向开发者展示为何需要在应用中使用生物识别身份认证技术。

为了拓展传统的登录授权流程，使其支持生物识别身份验证，您可以在用户成功登录之后提示用户启用生物识别身份验证。图 1A 展示了一个典型的登录流程，您可能已经很熟悉了。当用户点击登录按钮，且应用获取到服务器返回的 userToken 之后，再提示用户是否启用，如图 1B 所示。一旦启用，每次用户需要登录时，应用都应当自动弹出生物识别身份验证对话框，如图 2 所示。

△ 图 1A: 典型的登录界面

△ 图 1B: 启用生物识别身份验证

△ 图 2: 确认使用生物识别身份验证进行登录

在图 2 中的界面有一个确定按钮，实际上该按钮是可选的。举个例子，如果您开发的是一个餐厅的应用，建议显示该按钮，因为可以使用生物识别身份验证的方式让顾客支付用餐费用。对于敏感的交易和支付，我们建议您要求用户进行确认。若要在界面中包含此确认按钮，您可以在构建 BiometricPrompt.PromptInfo 时调用 setConfirmationRequired(true) 即可。这里要注意的是，如果您不调用 setConfirmationRequired(true))，系统会默认将其设置为 true。

接入生物识别的设计流程

示例中的代码使用了带有 CryptoObject 实例的加密版 BiometricPrompt。

如果您的应用需要认证，那么您就应该创建一个专门的 LoginActivity 组件作为应用的登录界面。无论应用要求进行身份验证的频率多高，只要需要验证，就应该这么做。若用户之前已认证过，那么 LoginActivity 将调用 finish() 方法，让用户继续使用。如果用户还没有进行身份验证，那么您应该检查生物识别身份验证是否启用。

有很多方法来检查是否启用了生物识别。与其在各种不同的替代方案中周旋，不如我们直接深入研究一个特别的方法: 直接检查自定义属性 ciphertextWrapper 是否是 null。当用户在您的应用中启用生物识别身份验证后，您就可以创建一个 CiphertextWrapper 数据类，来将加密后的 userToken (也就是 ciphertext) 存储在 SharedPreferences 或 Room 这样的持久性存储中。因此，若 ciphertextWrapper 不是 null，就相当于您拥有了访问远程服务所需的已加密的 userToken，这也意味着当前生物识别已启用。

if (ciphertextWrapper != null) {
   // 用户已启用了生物识别
} else {
    // 生物识别未启用
}

若生物识别未被启用，则用户可以单击 (如图 1B 所示) 以启用它，这时您将向用户展示生物识别身份验证提示框，如图 3 所示。

如下代码示例中，showBiometricPromptForEncryption() 展示了如何设置与 BiometricPrompt 关联的加密密钥。本质上，就是从一个 String 初始化出一个 Cipher，然后将该 Cipher 传递给 CryptoObject。最后再将 CryptoObject 传递给 biometricPrompt.authenticate(promptInfo, cryptoObject) 方法。

binding.useBiometrics.setOnClickListener {
   showBiometricPromptForEncryption()
}
....
private fun showBiometricPromptForEncryption() {
   val canAuthenticate = BiometricManager.from(applicationContext).canAuthenticate()
   if (canAuthenticate == BiometricManager.BIOMETRIC_SUCCESS) {
       val secretKeyName = SECRET_KEY_NAME
       cryptographyManager = CryptographyManager()
       val cipher = cryptographyManager.getInitializedCipherForEncryption(secretKeyName)
       val biometricPrompt =
           BiometricPromptUtils.createBiometricPrompt(this, ::encryptAndStoreServerToken)
       val promptInfo = BiometricPromptUtils.createPromptInfo(this)
       biometricPrompt.authenticate(promptInfo, BiometricPrompt.CryptoObject(cipher))
   }
}

△ 图 3: 激活生物识别的提示

在图 2 和图 3 所示的场景下，应用只有 userToken 这个数据。但是除非用户每次打开应用都要输入一次密码，否则该 userToken 就需要持久化用于之后的会话。然而，如果您直接存储了未加密的 userToken，那么攻击者就可能侵入设备读取明文的 userToken，然后使用它从远程服务器上获取数据。因此，在将 userToken 保存到本地之前，最好先将其加密，这就是图 3 中 BiometricPrompt 的作用。当用户使用生物识别验证身份后，您的目标是使用 BiometricPrompt 解锁密钥 (可以使用 auth-per-use 密钥，也可使用 time-bound 密钥)，然后用该密钥对服务器生成的 userToken 进行加密，再将其保存到本地。自此，当用户需要登录时，就可以使用生物识别验证身份 (即生物识别认证 -> 解锁密钥 -> 解密 userToken 进行数据访问)。

这里要注意区分用户是第一次启用生物识别，还是在使用生物识别进行登录。启用生物识别时，应用调用 showBiometricPromptForEncryption() 方法，该方法会初始化一个 Cipher 用于加密 userToken。另一方面，若用户是在使用生物识别进行登录，那应该调用 showBiometricPromptForDecryption() 方法，它会初始化一个用于解密的 Cipher，再使用该 Cipher 来解密 userToken。

启用生物识别之后，用户下次返回应用时，会通过生物识别身份验证对话框进行认证，如图 4 所示。请注意，由于图 4 是用于登录应用，而图 2 是用于确定交易的，所以在图 4 中没有确认按钮，因为登录行为是一个被动的、易逆向恢复的行为。

△ 图 4

若要为您的用户实现这一流程，当您的 LoginActivity 完成认证过程后，使用成功通过 BiometricPrompt 认证解锁的加密对象来解密 userToken，然后在 LoginActivity 中调用 finish() 方法。

override fun onResume() {
   super.onResume()

   if (ciphertextWrapper != null) {
       if (SampleAppUser.fakeToken == null) {
           showBiometricPromptForDecryption()
       } else {
           // 用户已经成功登录，因此直接进入接下来的应用流程
           // 之后的就交给开发者您来完成了
           updateApp(getString(R.string.already_signedin))
       }
   }
}
....
private fun showBiometricPromptForDecryption() {
   ciphertextWrapper?.let { textWrapper ->
       val canAuthenticate = BiometricManager.from(applicationContext).canAuthenticate()
       if (canAuthenticate == BiometricManager.BIOMETRIC_SUCCESS) {
           val secretKeyName = getString(R.string.secret_key_name)
           val cipher = cryptographyManager.getInitializedCipherForDecryption(
               secretKeyName, textWrapper.initializationVector
           )
                      biometricPrompt =
               BiometricPromptUtils.createBiometricPrompt(
                   this,
                   ::decryptServerTokenFromStorage
               )
           val promptInfo = BiometricPromptUtils.createPromptInfo(this)
           biometricPrompt.authenticate(promptInfo, BiometricPrompt.CryptoObject(cipher))
       }
   }
}
private fun decryptServerTokenFromStorage(authResult: BiometricPrompt.AuthenticationResult) {
   ciphertextWrapper?.let { textWrapper ->
       authResult.cryptoObject?.cipher?.let {
           val plaintext =
               cryptographyManager.decryptData(textWrapper.ciphertext, it)
           SampleAppUser.fakeToken = plaintext
           // 现在您有了 token，就可以查询服务器上的其他数据了
           // 我们之所以称这个为 fakeToken，是因为它并不是真正从服务器中获取到的
           // 在真实场景下，您会在从服务器上获取到 token 数据
           // 此时，它才能算是一个真正的 token
           updateApp(getString(R.string.already_signedin))
       }
   }
}

完整的蓝图

图 5 展示了一个完整的工程设计流程图，这也是我们所推荐的流程。既然您在实际编码过程中可能会在很多地方偏离此流程，例如，您所使用的加密解决方案中解锁密钥可能只会用于加密而不用于解密，但是在这里我们仍然希望能够通过提供这样一个完整的示例为可能需要的开发者们提供帮助。

凡是图中提到 密钥 的地方，您都可以按照需求使用 auth-per-use 密钥或是 time-bound 密钥。另外，凡是图中提到的 "应用中的存储系统" 的地方，您也都可以将其理解为您所偏爱的结构化存储: SharedPreferences、Room 或是任何别的存储方案。最后，对于 userToken 您可以将其理解为一个令牌，有了它就可以去服务器上访问被保护的用户数据。服务器通常会将这种令牌作为调用方已被授权的证据。

图中的 "对 userToken 进行加密" 的箭头很可能会指向 "登录完成"，而不是回到 "LoginActivity"。尽管如此，我们还是在图中让其指向了 "LoginActivity"，就是为了提醒大家注意，在用户点击 "激活生物识别" 后，可以使用一个额外的 Activity (例如 EnableBiometricAuthActivity)，使代码更加模块化，更具可读性。或者，您也可以创建带有两个 Fragment 的 LoginActivity: 一个 Fragments用于实际的认证流程，另一个用来响应用户点击 "启用生物识别"。

除了下面这个流程图之外，我们还发布了一个设计指南，您可以在设计应用时进行参考。另外，我们 在 Github 上的示例代码 希望也能够帮助您更好地理解如何使用生物识别身份验证技术。

△ 图 5: 使用生物识别同服务器获取授权的完整蓝图

总结

在本篇文章中，我们介绍了:

• 如何扩展 UI 来支持生物识别身份验证；
• 针对生物识别身份验证的流程，您的应用应着重解决的关键点是什么；
• 如何设计您的代码来处理生物识别认证的不同场景；
• 登录流程的完整工程设计图。

祝您编码愉快！