实战 | 将 Android 生物识别身份验证整合至应用中

本文是 Android 生物识别身份验证系列文章的第二篇，上篇文章 主要经过比较传统用户名和密码的认证方式和生物识别身份认证方式的不一样，以及介绍生物识别加密的不一样加密方式，来向开发者展现为什么须要在应用中使用生物识别身份认证技术。

为了拓展传统的登陆受权流程，使其支持生物识别身份验证，您能够在用户成功登陆以后提示用户启用生物识别身份验证。图 1A 展现了一个典型的登陆流程，您可能已经很熟悉了。当用户点击登陆按钮，且应用获取到服务器返回的 userToken 以后，再提示用户是否启用，如图 1B 所示。一旦启用，每次用户须要登陆时，应用都应当自动弹出生物识别身份验证对话框，如图 2 所示。

△ 图 1A: 典型的登陆界面

△ 图 1B: 启用生物识别身份验证

△ 图 2: 确认使用生物识别身份验证进行登陆

在图 2 中的界面有一个肯定按钮，实际上该按钮是可选的。举个例子，若是您开发的是一个餐厅的应用，建议显示该按钮，由于可使用生物识别身份验证的方式让顾客支付用餐费用。对于敏感的交易和支付，咱们建议您要求用户进行确认。若要在界面中包含此确认按钮，您能够在构建 BiometricPrompt.PromptInfo 时调用 setConfirmationRequired(true) 便可。这里要注意的是，若是您不调用 setConfirmationRequired(true))，系统会默认将其设置为 true。

接入生物识别的设计流程

示例中的代码使用了带有 CryptoObject 实例的加密版 BiometricPrompt。

若是您的应用须要认证，那么您就应该建立一个专门的 LoginActivity 组件做为应用的登陆界面。不管应用要求进行身份验证的频率多高，只要须要验证，就应该这么作。若用户以前已认证过，那么 LoginActivity 将调用 finish() 方法，让用户继续使用。若是用户尚未进行身份验证，那么您应该检查生物识别身份验证是否启用。

有不少方法来检查是否启用了生物识别。与其在各类不一样的替代方案中周旋，不如咱们直接深刻研究一个特别的方法: 直接检查自定义属性 ciphertextWrapper 是不是 null。当用户在您的应用中启用生物识别身份验证后，您就能够建立一个 CiphertextWrapper 数据类，来将加密后的 userToken (也就是 ciphertext) 存储在 SharedPreferences 或 Room 这样的持久性存储中。所以，若 ciphertextWrapper 不是 null，就至关于您拥有了访问远程服务所需的已加密的 userToken，这也意味着当前生物识别已启用。

if (ciphertextWrapper != null) {
   // 用户已启用了生物识别
} else {
    // 生物识别未启用
}

若生物识别未被启用，则用户能够单击 (如图 1B 所示) 以启用它，这时您将向用户展现生物识别身份验证提示框，如图 3 所示。

以下代码示例中，showBiometricPromptForEncryption() 展现了如何设置与 BiometricPrompt 关联的加密密钥。本质上，就是从一个 String 初始化出一个 Cipher，而后将该 Cipher 传递给 CryptoObject。最后再将 CryptoObject 传递给 biometricPrompt.authenticate(promptInfo, cryptoObject) 方法。

binding.useBiometrics.setOnClickListener {
   showBiometricPromptForEncryption()
}
....
private fun showBiometricPromptForEncryption() {
   val canAuthenticate = BiometricManager.from(applicationContext).canAuthenticate()
   if (canAuthenticate == BiometricManager.BIOMETRIC_SUCCESS) {
       val secretKeyName = SECRET_KEY_NAME
       cryptographyManager = CryptographyManager()
       val cipher = cryptographyManager.getInitializedCipherForEncryption(secretKeyName)
       val biometricPrompt =
           BiometricPromptUtils.createBiometricPrompt(this, ::encryptAndStoreServerToken)
       val promptInfo = BiometricPromptUtils.createPromptInfo(this)
       biometricPrompt.authenticate(promptInfo, BiometricPrompt.CryptoObject(cipher))
   }
}

△ 图 3: 激活生物识别的提示

在图 2 和图 3 所示的场景下，应用只有 userToken 这个数据。可是除非用户每次打开应用都要输入一次密码，不然该 userToken 就须要持久化用于以后的会话。然而，若是您直接存储了未加密的 userToken，那么攻击者就可能侵入设备读取明文的 userToken，而后使用它从远程服务器上获取数据。所以，在将 userToken 保存到本地以前，最好先将其加密，这就是图 3 中 BiometricPrompt 的做用。当用户使用生物识别验证身份后，您的目标是使用 BiometricPrompt 解锁密钥 (可使用 auth-per-use 密钥，也可以使用 time-bound 密钥)，而后用该密钥对服务器生成的 userToken 进行加密，再将其保存到本地。自此，当用户须要登陆时，就可使用生物识别验证身份 (即生物识别认证 -> 解锁密钥 -> 解密 userToken 进行数据访问)。

这里要注意区分用户是第一次启用生物识别，仍是在使用生物识别进行登陆。启用生物识别时，应用调用 showBiometricPromptForEncryption() 方法，该方法会初始化一个 Cipher 用于加密 userToken。另外一方面，若用户是在使用生物识别进行登陆，那应该调用 showBiometricPromptForDecryption() 方法，它会初始化一个用于解密的 Cipher，再使用该 Cipher 来解密 userToken。

启用生物识别以后，用户下次返回应用时，会经过生物识别身份验证对话框进行认证，如图 4 所示。请注意，因为图 4 是用于登陆应用，而图 2 是用于肯定交易的，因此在图 4 中没有确认按钮，由于登陆行为是一个被动的、易逆向恢复的行为。

△ 图 4

若要为您的用户实现这一流程，当您的 LoginActivity 完成认证过程后，使用成功经过 BiometricPrompt 认证解锁的加密对象来解密 userToken，而后在 LoginActivity 中调用 finish() 方法。

override fun onResume() {
   super.onResume()

   if (ciphertextWrapper != null) {
       if (SampleAppUser.fakeToken == null) {
           showBiometricPromptForDecryption()
       } else {
           // 用户已经成功登陆，所以直接进入接下来的应用流程
           // 以后的就交给开发者您来完成了
           updateApp(getString(R.string.already_signedin))
       }
   }
}
....
private fun showBiometricPromptForDecryption() {
   ciphertextWrapper?.let { textWrapper ->
       val canAuthenticate = BiometricManager.from(applicationContext).canAuthenticate()
       if (canAuthenticate == BiometricManager.BIOMETRIC_SUCCESS) {
           val secretKeyName = getString(R.string.secret_key_name)
           val cipher = cryptographyManager.getInitializedCipherForDecryption(
               secretKeyName, textWrapper.initializationVector
           )
                      biometricPrompt =
               BiometricPromptUtils.createBiometricPrompt(
                   this,
                   ::decryptServerTokenFromStorage
               )
           val promptInfo = BiometricPromptUtils.createPromptInfo(this)
           biometricPrompt.authenticate(promptInfo, BiometricPrompt.CryptoObject(cipher))
       }
   }
}
private fun decryptServerTokenFromStorage(authResult: BiometricPrompt.AuthenticationResult) {
   ciphertextWrapper?.let { textWrapper ->
       authResult.cryptoObject?.cipher?.let {
           val plaintext =
               cryptographyManager.decryptData(textWrapper.ciphertext, it)
           SampleAppUser.fakeToken = plaintext
           // 如今您有了 token，就能够查询服务器上的其余数据了
           // 咱们之因此称这个为 fakeToken，是由于它并非真正从服务器中获取到的
           // 在真实场景下，您会在从服务器上获取到 token 数据
           // 此时，它才能算是一个真正的 token
           updateApp(getString(R.string.already_signedin))
       }
   }
}

完整的蓝图

图 5 展现了一个完整的工程设计流程图，这也是咱们所推荐的流程。既然您在实际编码过程当中可能会在不少地方偏离此流程，例如，您所使用的加密解决方案中解锁密钥可能只会用于加密而不用于解密，可是在这里咱们仍然但愿可以经过提供这样一个完整的示例为可能须要的开发者们提供帮助。

凡是图中提到 密钥 的地方，您均可以按照需求使用 auth-per-use 密钥或是 time-bound 密钥。另外，凡是图中提到的 "应用中的存储系统" 的地方，您也均可以将其理解为您所偏心的结构化存储: SharedPreferences、Room 或是任何别的存储方案。最后，对于 userToken 您能够将其理解为一个令牌，有了它就能够去服务器上访问被保护的用户数据。服务器一般会将这种令牌做为调用方已被受权的证据。

图中的 "对 userToken 进行加密" 的箭头极可能会指向 "登陆完成"，而不是回到 "LoginActivity"。尽管如此，咱们仍是在图中让其指向了 "LoginActivity"，就是为了提醒你们注意，在用户点击 "激活生物识别" 后，可使用一个额外的 Activity (例如 EnableBiometricAuthActivity)，使代码更加模块化，更具可读性。或者，您也能够建立带有两个 Fragment 的 LoginActivity: 一个 Fragments用于实际的认证流程，另外一个用来响应用户点击 "启用生物识别"。

除了下面这个流程图以外，咱们还发布了一个设计指南，您能够在设计应用时进行参考。另外，咱们 在 Github 上的示例代码 但愿也可以帮助您更好地理解如何使用生物识别身份验证技术。

△ 图 5: 使用生物识别同服务器获取受权的完整蓝图

总结

在本篇文章中，咱们介绍了:

• 如何扩展 UI 来支持生物识别身份验证；
• 针对生物识别身份验证的流程，您的应用应着重解决的关键点是什么；
• 如何设计您的代码来处理生物识别认证的不一样场景；
• 登陆流程的完整工程设计图。

祝您编码愉快！