安卓指纹注册认证应用开发可行性及实现方案咨询

表述准确性判定 #

你提到的说法不准确。
安卓系统确实禁止第三方应用直接访问存储在安全执行环境（TEE）/安全元件（SE）中的用户原始指纹模板，但不影响应用实现自身的指纹身份绑定功能，也就是你说的应用内指纹注册能力。

安卓指纹能力逻辑说明 #

• 系统层面的指纹录入是唯一入口：所有用户指纹的原始采集、模板存储都只能在系统设置中完成，第三方应用没有权限调用硬件直接采集、存储原始指纹数据，这是安卓的基础安全设计，避免指纹数据泄露。
• 应用层的“指纹注册”本质是身份绑定：你不需要获取原始指纹模板，只需要把应用内的用户账号和系统指纹校验的可信结果做绑定即可。

应用内指纹注册分步实现逻辑 #

1. 首先添加Jetpack Biometric库依赖，这个是谷歌官方的兼容库，覆盖Android 6.0及以上版本，无需适配不同厂商硬件：

dependencies {
    implementation "androidx.biometric:biometric:1.2.0-alpha05"
}

2. 先判断当前设备是否支持生物识别，且用户已经在系统中录入过至少一个指纹：
   调用BiometricManager.from(context).canAuthenticate(BIOMETRIC_STRONG)方法，返回BIOMETRIC_SUCCESS就说明符合使用条件。
3. 触发用户指纹校验：构建BiometricPrompt.PromptInfo弹窗，调用系统提供的统一指纹校验界面，不要自行开发校验UI。
4. 校验成功后，生成一个绑定用户身份的密钥对，将私钥存入系统Keystore，配置私钥的使用规则为必须通过生物识别校验才能调用，将公钥和应用内用户ID绑定存储到你的服务端，即完成应用层面的指纹注册。
5. 后续用户要通过指纹登录时，再次调用BiometricPrompt触发校验，校验通过后用Keystore中的私钥签名请求发送到服务端，服务端用之前存储的公钥验证通过即可完成身份核验。

内容的提问来源于stack exchange，提问作者wahyu