Ionic的FingerprintAIO API中应存储什么作为生物识别密钥？

我正在开发一个Ionic-Angular应用，使用FingerprintAIO API实现生物识别认证功能，目前的代码如下：

constructor(private faio: FingerprintAIO) {}

// ...

// Saving a secret
this.faio.registerBiometricSecret({
    secret: "my-super-secret", // <--- What should I use as the biometric secret?
})
    .then((result: any) => console.log('biometric secret is saved', result))
    .catch((error: any) => console.log(error));

// Retrieving a secret          
this.faio.loadBiometricSecret()
    .then((secret: string) => console.log('biometric secret is loaded. Secret:', secret))
    .catch((error: any) => console.log(error));

我的问题是：调用registerBiometricSecret时，应该保存并检索什么作为生物识别密钥？

回答 #

首先得明确，FingerprintAIO的registerBiometricSecret本质是把敏感信息存在设备的安全存储（比如iOS Keychain、Android Keystore）里，只有通过生物识别验证后才能取出。所以这个secret的选择完全取决于你的业务场景，下面是几种常见且合理的用法：

• 用户的会话令牌/加密凭证：如果你的应用需要和后端交互，最常用的方式就是存储用户登录后获取的JWT令牌、OAuth访问令牌这类凭证。通过生物识别验证后取出令牌，就能自动完成登录流程，不用用户重复输入账号密码，既提升体验又保证安全。
• 自定义的本地加密密钥：如果你的应用需要本地存储敏感数据（比如私人笔记、用户隐私设置），可以生成一个随机的强加密密钥（比如32位以上的随机字符串）存在这里。之后解密本地数据时，先通过生物识别取出密钥再解密，避免密钥明文暴露在本地存储中。
• 哈希后的用户标识：如果只是用来快速验证用户身份，不要直接存储用户ID、邮箱这类明文信息，建议先对这些标识做哈希处理（比如用SHA-256）再存储，降低信息泄露的风险。

另外要注意几个关键细节：

• 绝对不要用固定值（比如示例里的"my-super-secret"）作为secret，每个用户应该有唯一的、动态生成的内容，否则生物识别绑定的安全意义就不存在了。
• 避免存储用户的明文密码！密码只应该在登录时传给后端验证，永远不要在客户端存储，哪怕是安全存储也不行。
• 确保secret的复杂度足够，推荐用随机生成的长字符串，符合设备安全存储的要求。

给你一个实际的代码示例，假设存储JWT令牌：

// 用户登录成功后获取到的JWT令牌
const userAuthToken = "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1c2VySWQiOjEsIm5hbWUiOiJMb3JyaWFuZSJ9.SW4f8Z...";

// 绑定生物识别并存储令牌
this.faio.registerBiometricSecret({
    secret: userAuthToken,
})
.then(result => console.log('认证令牌已安全存储', result))
.catch(error => console.error('存储失败:', error));

// 应用启动时，通过生物识别取出令牌完成自动登录
this.faio.loadBiometricSecret()
.then(secret => {
    // 使用令牌调用后端API，恢复用户会话
    console.log('自动登录令牌:', secret);
    // 这里可以写你的自动登录逻辑
})
.catch(error => console.error('生物识别验证失败:', error));

内容的提问来源于stack exchange，提问作者Lorraine Ram-El