移动端重要操作前Face ID/生物识别的后端验证方案问询

一、iPhone端前端处理步骤 #

• 当用户发起转账这类高风险操作时，APP调用iOS系统的LocalAuthentication框架发起Face ID验证请求
• 验证通过后，iOS会返回一个系统生成的生物识别成功凭证（不是Face ID的原始数据，仅用于证明用户完成了生物识别验证的令牌）
• 前端将该凭证与本次交易的关键信息（如转账金额、收款账号、当前时间戳）一起加密后，发送至后端

二、后端验证流程（后端不直接处理生物识别） #

后端核心目标是确认「用户确实完成了生物识别验证+交易信息未被篡改」，具体步骤如下：

1. 解密请求，获取生物识别凭证、交易参数以及用户当前的登录会话令牌
2. 先校验用户登录会话的有效性：确认会话未过期、未被强制下线
3. 校验生物识别凭证的合法性：
   • 凭证必须由iOS系统合法生成（前端需保证凭证未被篡改，后端通过签名校验确认）
   • 凭证需与当前用户绑定：前端在用户首次开启生物识别功能时，已将用户ID与凭证的关联信息同步至后端
4. 校验交易参数完整性：前端对交易核心信息生成专属签名，后端用相同算法验签，确认参数未被篡改
5. 风险二次校验：结合用户历史交易行为、设备信息等做风险评估，确认无异常后执行交易操作

三、后端需接收的核心凭证 #

• 生物识别令牌/断言：iOS系统生成，用于证明用户完成Face ID验证，后端无需解析具体内容，仅需验证其合法性与用户绑定关系
• 登录会话令牌：用户登录时后端颁发的身份凭证，用于确认用户身份
• 交易参数签名：前端对交易关键信息生成的签名，防止参数被中途篡改

四、安全标准与重新认证规则 #

安全标准 #

1. 凭证不可伪造：生物识别令牌由iOS系统生成，前端无法伪造，后端需通过签名校验确保凭证未被篡改
2. 绑定用户与设备：令牌需与用户ID、设备ID绑定，禁止跨用户/跨设备复用
3. 全程加密传输：所有请求必须通过HTTPS传输，防范中间人攻击
4. 短期有效机制：生物识别令牌设置较短有效期（如5分钟），避免被恶意复用
5. 按需触发：仅在高风险操作（转账、修改敏感信息）时启用生物识别，低风险操作无需验证

重新认证要求 #

• 当用户登录会话过期、更换设备、或操作风险等级极高（如大额转账远超日常额度）时，需强制用户重新完成生物识别验证，即使此前已通过登录验证
• 若Face ID验证失败，需提供密码验证的 fallback 选项，保障用户操作可正常完成

内容的提问来源于stack exchange，提问作者Flama