iOS开发：Keychain生物验证失败时用自定义密码替代设备PIN如何实现

该需求完全可以实现，核心逻辑是手动控制Keychain访问的验证流程，关闭系统自带的PIN码降级选项，所有 fallback 逻辑由应用自行实现即可，以下为苹果平台（iOS/macOS）的具体操作步骤：

1. 提前存储自定义密码的校验值 #

用户首次设置自定义密码时，不要明文存储密码内容，用PBKDF2/Argon2等慢哈希算法计算密码的哈希值，将哈希值存储到Keychain的独立条目中，设置该条目属性为kSecAttrAccessibleWhenUnlocked，仅设备解锁后可读取，用于后续密码校验。

2. 配置保密内容的Keychain存储属性 #

存储需要保护的核心内容时，访问控制参数按如下规则配置：

• 仅添加生物识别验证要求，不要添加kSecAccessControlOrDevicePasscode参数，该参数是触发系统PIN码降级的开关，关闭后系统就不会自动弹出PIN验证界面
• 验证交互参数设置为生物识别失败直接返回错误，不触发系统默认 fallback

Swift代码示例：

// 生成仅支持生物识别的访问控制对象，不开启系统PIN降级
guard let accessControl = SecAccessControlCreateWithFlags(
    kCFAllocatorDefault,
    kSecAttrAccessibleWhenPasscodeSetThisDeviceOnly,
    .biometryCurrentSet, // 仅允许当前录入的生物识别验证
    nil
) else {
    // 生物识别不可用的异常处理
    return
}

// 核心内容存储的参数字典
let saveQuery: [CFString: Any] = [
    kSecClass: kSecClassGenericPassword,
    kSecAttrAccount: "protected_content_account",
    kSecValueData: 核心内容的Data格式,
    kSecAttrAccessControl: accessControl,
    kSecUseAuthenticationUI: kSecUseAuthenticationUIFail // 验证失败直接返回错误，不弹系统选项
]

SecItemAdd(saveQuery as CFDictionary, nil)

3. 自定义验证流程控制 #

读取核心内容时按如下顺序执行：

• 先调用SecItemCopyMatching触发系统生物识别验证，验证成功直接返回核心内容
• 捕获生物识别失败/用户取消的错误（错误码对应errSecUserCanceled/errSecAuthFailed）后，主动弹出自定义的密码输入框
• 将用户输入的密码做相同的哈希计算，和提前存储的密码哈希对比，对比一致则视为验证通过，直接返回核心内容即可

4. 边界情况处理 #

• 如果用户未开启设备生物识别权限：读取时直接进入自定义密码验证流程即可
• 如果用户新增/删除了生物识别特征：biometryCurrentSet配置会自动让生物识别验证失效，直接触发自定义密码验证流程，无需额外适配

不要把核心内容的解密密钥和自定义密码哈希存在同一个Keychain条目里，避免校验逻辑被绕过
自定义密码输入框建议限制尝试次数，连续多次验证失败可以选择清空对应Keychain内容或者增加验证冷却时间，防止暴力破解

内容的提问来源于stack exchange，提问作者swalkner