使用RSA私钥时Xamarin Forms出现身份验证错误

我之前也踩过这个坑，这种情况本质上是因为你用来签名的私钥实例没有绑定到刚完成的用户验证会话。Android的KeyStore在开启SetUserAuthenticationRequired(true)后，密钥的授权是和验证会话强绑定的——哪怕用户刚验证成功，如果你用的是验证前获取的私钥实例，系统还是会判定你没通过验证。

给你几个针对性的解决方案，按优先级尝试：

1. 验证成功后重新获取私钥实例 #

不要复用之前缓存的私钥，在验证通过的回调（OnActivityResult或OnAuthenticationSucceeded）里重新从KeyStore中加载私钥，再用这个新实例初始化Signature：

private void PerformSignature(byte[] byteToSign)
{
    try
    {
        KeyStore keyStore = KeyStore.GetInstance("AndroidKeyStore");
        keyStore.Load(null);
        
        // 重新获取私钥
        IPrivateKey privateKey = (IPrivateKey)keyStore.GetKey("你的密钥别名", null);
        
        // 初始化Signature并执行签名
        Signature sig = Signature.GetInstance("SHA256withRSA"); // 替换成你实际用的签名算法
        sig.InitSign(privateKey);
        sig.Update(byteToSign);
        byte[] signatureResult = sig.Sign();
        
        // 处理签名结果
    }
    catch (Exception ex)
    {
        // 异常处理
    }
}

// 在OnActivityResult中调用
protected override void OnActivityResult(int requestCode, Result resultCode, Intent data)
{
    base.OnActivityResult(requestCode, resultCode, data);
    const int AUTH_REQUEST_CODE = 1001;
    if (requestCode == AUTH_REQUEST_CODE && resultCode == Result.Ok)
    {
        // 验证成功，立即执行签名
        PerformSignature(你的待签数据);
    }
}

2. 检查密钥生成时的参数配置 #

确保生成密钥时，除了SetUserAuthenticationRequired(true)，还可以根据需求设置验证有效期，避免短时间内重复验证，同时保证参数的完整性：

KeyGenParameterSpec.Builder keyBuilder = new KeyGenParameterSpec.Builder(
    "你的密钥别名", KeyStorePurpose.Sign);
keyBuilder.SetUserAuthenticationRequired(true);
// 可选：设置验证后5分钟内无需再次验证（单位：秒）
keyBuilder.SetUserAuthenticationValidityDurationSeconds(300);
keyBuilder.SetDigests(KeyProperties.DigestSha256);
keyBuilder.SetSignaturePaddings(KeyProperties.SignaturePaddingRsaPkcs1);
keyBuilder.SetKeySize(2048);

KeyPairGenerator keyGen = KeyPairGenerator.GetInstance(KeyProperties.KeyAlgorithmRsa, "AndroidKeyStore");
keyGen.Initialize(keyBuilder.Build());
keyGen.GenerateKeyPair();

3. 确保验证会话的上下文连续性 #

如果用FingerprintManager.Authenticate方式验证，要在成功回调里立即执行签名操作（最好通过主线程调用），不要延迟，因为验证会话有超时机制：

var cancellationSignal = new Android.Support.V4.OS.CancellationSignal();

FingerprintManagerCompat.From(this).Authenticate(null, 0, cancellationSignal, new FingerprintAuthenticationCallback
{
    OnAuthenticationSucceededHandler = (result) =>
    {
        RunOnUiThread(() =>
        {
            // 这里再重新获取私钥并完成签名
            PerformSignature(你的待签数据);
        });
    }
}, null);

为什么会出现这个问题？ #

Android的KeyStore为了安全，会把密钥的使用权限和用户验证的会话绑定。当你在验证前获取私钥实例时，这个实例并没有获得授权；只有在验证成功后，重新获取的实例才会带上当前验证会话的授权信息，才能正常用于签名。

内容的提问来源于stack exchange，提问作者Ricardo Almeida