MAUI Android端指纹认证Token交互与安全存储技术咨询

前提说明 #

仅针对Android平台展开讨论，iOS相关内容后续再探讨。

我在Visual Studio中使用C#开发MAUI应用，已借助Plugin.Fingerprint库实现指纹认证弹窗，但对与服务器交互的Token处理存在疑问。

我理解的认证流程 #

1. 用户首次通过用户名密码登录成功，且主动请求启用指纹认证后，向服务器申请为当前DeviceID颁发一个类似GUID的Token；
2. 服务器将该Token存入FingerprintAuth数据库表，以DeviceID作为索引键；
3. 服务器将Token返回至用户设备；
4. 应用在设备上安全存储该认证Token；
5. 后续每次设备指纹认证通过后，应用向服务器发送{DeviceID, 认证Token}；
6. 服务器从FingerprintAuth表中查询对应DeviceID的Token；
7. 对比Token一致后，服务器向应用颁发ServiceToken（逻辑与用户名密码登录成功时一致）；
8. 应用后续所有业务请求均携带该ServiceToken。

疑问与解答 #

1. 上述认证流程是否正确？ #

流程整体逻辑成立，但有几个细节可优化：

• 步骤1中，建议同时携带用户的用户名/用户ID，避免同一设备被多用户共享时出现身份混淆；
• 步骤5的请求中增加时间戳和签名机制，防止重放攻击；
• 服务器端给FingerprintAuth表的Token设置有效期，同时在用户禁用指纹、更换设备/账号时主动作废对应Token。

2. 该认证Token应存储在设备的哪个安全加密位置？ #

在Android上，最安全的方案是：
将加密后的Token存储到MAUI的Preferences（对应Android原生SharedPreferences），但加密密钥必须由Android KeyStore生成和管理，密钥全程不会明文暴露，仅在指纹验证通过后才能调用。

3. 应使用何种加密方式？在C#中如何实现？ #

推荐使用AES对称加密，密钥由Android KeyStore托管，结合指纹验证解锁密钥。以下是核心实现代码：

生成并管理KeyStore密钥

using Android.Security.Keystore;
using Java.Security;
using Javax.Crypto;

public class KeyStoreHelper
{
    private const string KeyAlias = "FingerprintTokenKey";
    private const string KeyStoreName = "AndroidKeyStore";

    public static SecretKey GetOrCreateKey()
    {
        var keyStore = KeyStore.GetInstance(KeyStoreName);
        keyStore.Load(null);

        if (!keyStore.ContainsAlias(KeyAlias))
        {
            var keyGenerator = KeyGenerator.GetInstance(KeyProperties.KeyAlgorithmAes, KeyStoreName);
            var keyGenSpec = new KeyGenParameterSpec.Builder(KeyAlias, KeyStorePurpose.Encrypt | KeyStorePurpose.Decrypt)
                .SetBlockModes(KeyProperties.BlockModeCbc)
                .SetEncryptionPaddings(KeyProperties.EncryptionPaddingPkcs7)
                .SetUserAuthenticationRequired(true) // 强制指纹验证后才能使用密钥
                .Build();

            keyGenerator.Init(keyGenSpec);
            return keyGenerator.GenerateKey();
        }
        else
        {
            return (SecretKey)keyStore.GetKey(KeyAlias, null);
        }
    }
}

加密Token并存储

using Javax.Crypto.Cipher;

public static string EncryptToken(string serverToken)
{
    var key = KeyStoreHelper.GetOrCreateKey();
    var cipher = Cipher.GetInstance($"{KeyProperties.KeyAlgorithmAes}/{KeyProperties.BlockModeCbc}/{KeyProperties.EncryptionPaddingPkcs7}");
    cipher.Init(CipherMode.EncryptMode, key);

    var encryptedBytes = cipher.DoFinal(Encoding.UTF8.GetBytes(serverToken));
    return Convert.ToBase64String(encryptedBytes);
}

// 调用示例：存储加密后的Token
Preferences.Set("EncryptedFingerprintToken", EncryptToken(serverReturnedToken));

指纹验证后解密Token

using Plugin.Fingerprint;
using Plugin.Fingerprint.Abstractions;

public async Task<string> GetDecryptedTokenAsync()
{
    var authResult = await CrossFingerprint.Current.AuthenticateAsync(
        new AuthenticationRequestConfiguration("验证指纹", "请验证指纹以获取认证权限"));
    
    if (!authResult.Authenticated)
        throw new UnauthorizedAccessException("指纹验证失败");

    var encryptedToken = Preferences.Get("EncryptedFingerprintToken", string.Empty);
    if (string.IsNullOrEmpty(encryptedToken))
        throw new InvalidOperationException("未存储有效认证Token");

    var key = KeyStoreHelper.GetOrCreateKey();
    var cipher = Cipher.GetInstance($"{KeyProperties.KeyAlgorithmAes}/{KeyProperties.BlockModeCbc}/{KeyProperties.EncryptionPaddingPkcs7}");
    cipher.Init(CipherMode.DecryptMode, key);

    var decryptedBytes = cipher.DoFinal(Convert.FromBase64String(encryptedToken));
    return Encoding.UTF8.GetString(decryptedBytes);
}

4. 是否有相关的C#示例代码可供参考？ #

上面的代码就是MAUI Android平台的完整核心实现示例，涵盖了KeyStore密钥管理、Token加密存储、指纹验证后解密的全流程。可以结合Plugin.Fingerprint的API调整验证弹窗的提示文案和错误处理逻辑。

内容的提问来源于stack exchange，提问作者Alex