Expo React Native生物识别登录对接API的技术疑问

核心逻辑 #

生物识别是本地身份验证工具，核心作用是替代「手动输入用户名密码」的步骤，不需要完全推翻后端现有的Token认证体系。

1. 是否需要修改现有API？ #

不需要大改，最多按需新增一个刷新Token接口（非强制），原因如下：

• 现有登录接口的作用是用账号密码换取Token，生物识别登录不需要重复走这个流程，而是直接复用本地存储的有效Token（未过期情况下）。
• 如果Token过期，你可以用本地存储的用户名+加密密码重新调用原登录接口获取新Token，原接口完全兼容这个逻辑。
• 若追求更高安全性，可以新增一个用Refresh Token（如果后端支持）换取新Access Token的接口，避免本地存储明文密码，但这属于优化项，不是必须修改原API。

2. 生物识别登录时如何处理用户名与密码？ #

按以下步骤实现：

• 首次登录成功后：将用户名和加密后的密码（比如用AES加密）一同存入Expo Secure Store，和Token放在一起。
• 触发生物识别登录时：
  1. 调用Expo LocalAuthentication.authenticateAsync()完成本地生物验证。
  2. 验证通过后，从Secure Store取出加密密码和解密密钥，解密得到明文密码。
  3. 如果当前Token已过期，用取出的用户名+密码调用原登录接口获取新Token；Token未过期则直接复用。
• 关键注意：绝对不能存储明文密码，必须加密后再存入本地，加密密钥可以存在Secure Store，或者结合设备唯一标识（如Expo Constants.deviceId）作为辅助加密因子。

简化代码示例 #

// 生物识别登录实现
const biometricLogin = async () => {
  // 1. 触发本地生物识别验证
  const authResult = await LocalAuthentication.authenticateAsync({
    promptMessage: '验证身份以登录',
    fallbackLabel: '切换密码登录',
  });

  if (authResult.success) {
    // 2. 从Secure Store读取存储的用户信息
    const storedUsername = await SecureStore.getItemAsync('saved_username');
    const encryptedPwd = await SecureStore.getItemAsync('encrypted_password');
    const encryptionKey = await SecureStore.getItemAsync('encryption_key');

    // 3. 解密密码（需自定义解密函数）
    const decryptedPwd = decryptPassword(encryptedPwd, encryptionKey);

    // 4. 调用原登录接口获取新Token（若Token过期）
    const loginRes = await fetch('https://your-api-domain.com/login', {
      method: 'POST',
      headers: { 'Content-Type': 'application/json' },
      body: JSON.stringify({ username: storedUsername, password: decryptedPwd }),
    });
    const loginData = await loginRes.json();

    // 5. 更新Secure Store中的Token
    await SecureStore.setItemAsync('auth_token', loginData.token);
    // 登录成功，跳转首页
  }
};

安全提醒 #

• 生物识别仅做本地验证，后端仍需严格校验Token的有效性和权限。
• 加密密钥不要硬编码在代码中，最好和设备绑定或存在Secure Store。
• 用户删除应用后本地存储会清空，需重新输入账号密码完成首次登录。

内容的提问来源于stack exchange，提问作者sara lance