iOS/Android指纹-认证服务器端

Question

我正试图围绕如何实现 iOS/Android 指纹来验证用户身份。

据我了解，触发指纹对话框只是一种额外的安全措施？

所以一个典型的入职流程是这样的：

1. 用户下载应用。
2. 用户注册/登录，并从服务器取回令牌。
3. 在我们需要额外安全性的某些操作中，触发指纹对话。
4. 如果指纹正常 - 使用步骤 2 中的令牌执行实际 REST 调用。

我错过了什么吗？

Answer 1

请阅读以下博客之一（还有很多其他博客）：

• http://www.techotopia.com/index.php/An_Android_Fingerprint_Authentication_Tutorial

• https://www.survivingwithandroid.com/2016/12/android-fingerprint-authentication-tutorial.html

流程必须是：

1. 用户必须已注册指纹，并在 Android 设置应用中选择指纹解锁设备。
2. 用户下载应用。
3. 用户通过指纹检查注册/登录
4. 应用生成本地令牌并存储在设备上的安全（安全元素）密钥库中
5. 此本地应用令牌已发送到服务器
6. 在我们需要额外安全性的某些操作中，触发指纹对话。
7. 如果指纹正常，应用程序将访问安全密钥库以获取令牌。应用可以使用此令牌从第 4 步开始进行 REST 调用。