如何为使用Firebase Authentication的Flutter应用集成生物识别认证

你提到的本地加密存储邮箱密码的方案不是最优实现，存在用户明文密码泄露的潜在风险，以下是更安全的落地方案和其他可选思路：

这套方案全程不会留存用户的原始密码，安全等级最高，完全兼容现有邮箱密码认证逻辑：

• 用户首次通过邮箱密码成功登录Firebase后，在客户端生成一个32位以上的强随机密钥，使用flutter_secure_storage包将该密钥存入系统安全存储区（iOS对应Keychain、安卓对应Keystore），同时配置存储项的访问权限为仅生物认证通过后可读
• 搭一个简单的后端接口（可以直接用Firebase Cloud Functions实现）：接收用户当前有效的Firebase ID Token和生成的随机密钥，后端验证ID Token合法性后，将密钥和对应用户的UID绑定存入Firestore
• 后续用户触发生物识别登录时，先调用local_auth包完成生物校验，校验通过后从安全存储区读出随机密钥，将密钥传给后端接口
• 后端验证密钥与绑定的UID匹配后，调用Firebase Admin SDK的createCustomToken(uid)方法生成自定义认证令牌返回给前端
• 前端调用signInWithCustomToken()方法即可完成Firebase认证，不需要输入邮箱密码

这套方案的优势是就算本地存储的密钥泄露，你可以随时在后端吊销指定用户的绑定密钥，不会影响用户原始账号的安全性，也不会泄露用户的密码明文。

方案1：加密存储邮箱密码（你提到的思路） #

仅适合个人小项目、不想额外开发后端逻辑的场景

• 注意必须使用flutter_secure_storage等系统级加密存储能力存储凭证，绝对不能存在普通本地缓存中，同时要配置存储项仅生物认证通过后可读取
• 需要做凭证同步逻辑：用户修改账号密码后，必须同步更新本地存储的密码，否则会出现登录失败
• 必须给用户明确的授权提示，告知开启生物登录后会在本地存储账号凭证，由用户自主选择是否开启

方案2：持久会话 + 生物识别应用锁 #

适合只需要防其他人冒用设备打开应用、不需要每次重新走Firebase认证的场景

• Firebase默认开启认证持久化，用户首次登录后会话会长期有效，不需要重复登录
• 在应用的全局路由拦截层加校验逻辑：应用冷启动或者从后台回到前台时，先触发生物认证，认证通过才能进入已登录的页面
• 优势是实现成本极低，不需要改动现有认证逻辑
• 劣势是本质是应用层的拦截，不是认证级别的校验，Root/越狱设备有概率绕过拦截

• 所有方案都要提供生物识别登录的关闭入口，用户关闭后必须立刻清空本地存储的所有相关凭证
• 要做兼容判断：设备不支持生物识别、用户未录入生物信息时，自动隐藏生物登录选项，回退到原始邮箱密码登录
• 调用local_auth做生物校验时，安卓要配置BIOMETRIC_AUTHENTICATION权限，iOS要在Info.plist中添加NSFaceIDUsageDescription隐私声明

内容的提问来源于stack exchange，提问作者Preston Schwartz