Flutter应用如何借助biometric_storage将生物特征存储至中心化数据库完成核验

首先你要明确，无论是Android的BiometricManager框架还是iOS的LocalAuthentication框架，从系统层面就禁止应用获取用户原始的指纹、人脸等生物特征原始数据，所有生物特征的采集、存储、比对全都是在设备本地的安全隔离区（Android是TEE/SE安全执行环境，iOS是Secure Enclave）完成的，应用只能拿到「认证是否通过」的布尔结果，根本拿不到可以上传到中心化存储的原始生物特征数据，你提到的直接上传指纹统一核验的方案从系统底层就走不通。

• 方案1：基于密钥托管的跨设备生物认证（行业通用方案，优先推荐）
  你可以用biometric_storage的能力把用户的身份凭证密钥对和生物认证绑定，流程如下：
  1. 用户首次在任意设备完成生物认证后，在设备本地生成一对非对称密钥，将公钥上传到FireStore存储，私钥存到本地安全区，只有本地生物认证通过才能调用私钥签名
  2. 用户在新设备登录时，先通过账号密码/短信验证码等传统方式完成首次身份校验，再在新设备生成新的密钥对，把新的公钥上传到该用户的公钥列表里
  3. 后续任意设备的生物认证流程为：后端生成随机挑战值下发到设备，用户完成本地生物认证后调用本地私钥对挑战值签名，后端用对应用户存储的公钥列表验签，验签通过就算身份核验成功
     这套方案完全符合系统安全规范，不需要获取生物特征原始数据，也能实现「任意绑定过的设备用生物认证都能完成统一身份校验」的需求，Flutter生态的biometric_storage、local_auth插件都能完美支持客户端侧的流程实现。
• 方案2：自研生物采集比对逻辑（极度不推荐）
  如果你一定要做跨设备生物特征比对，不能用系统自带的生物认证API采集数据，要自己实现生物特征采集和比对逻辑，但存在多个无法忽视的问题：
  1. 多数安卓厂商的指纹硬件能力不对第三方应用开放原始数据接口，普通应用很难拿到指纹传感器的原始采集数据流
  2. 自研的生物比对精度、安全级别远低于系统原生实现，很容易被伪造的生物特征绕过，合规风险极高，不符合全球多数地区的隐私法规要求
  3. 存储用户原始生物特征需要满足极高的等保要求，普通项目基本达不到合规标准

正常业务场景下完全不需要触碰原始生物数据，走密钥托管的方案即可满足所有跨设备生物核验的需求，后端用Firebase Auth+FireStore就能快速搭建完整个链路。

内容的提问来源于stack exchange，提问作者lewis machilika