有没有一种方法可以在Web浏览器中使用Android指纹API或iOS Touch ID？

Question

例如，我有一个带有身份验证的网站。是否有任何指纹API可以从JavaScript中使用来登录用户？像Android和iOS这样的移动操作系统有这样的API。因此，至少理论上移动版本的浏览器可以提供这样的功能。但是我在互联网上找不到任何信息。

- Vladimir Liubimov

---

您不能使用移动指纹扫描仪的原始扫描指纹数据。它们存储在硬件内存中，无法提取和存储。您只能使用指纹扫描仪来验证先前存储的指纹数据以认证用户。 - Mohamed Sa'ed

我猜他们不希望网站可以访问指纹和虹膜扫描仪，因为它们可能被用于比仅仅窃取密码更严重的方式来盗取人们的身份（你可以更改密码，但指纹和虹膜几乎无法更改）。每当你开始寻找这种功能并且找不到时，请问自己可能会有什么恶意行为，并且你可能能够猜出为什么它不可用。 - Simon Hyll

我所思考的是保护用户的Cookies。例如，当用户首次使用设备登录我的网站时，网站会告诉浏览器某些Cookies必须通过指纹检查进行保护。现在每次用户尝试登录网站时，浏览器都会弹出指纹确认对话框。指纹由设备本身进行检查。如果失败，则不会传递Cookie。网站只能检查Cookie的存在，并且无法访问指纹数据。 - Vladimir Liubimov

我知道你可能没有恶意使用它，但是当“他们”为浏览器计划新功能时，他们必须考虑最坏的情况。如果所有人都是好人，我们就可以随时拥有每个人电脑的管理员权限。由于并非所有人都是好人，他们必须考虑功能的最坏使用方式，而这个功能可能会非常危险。我不认为你会做什么坏事，我只是说这可能是“高层领导”对这种类型功能思考的线路。 - Simon Hyll

此外，这种使用方式并不会使您的网站更加安全，因为它仍然只是在用户端创建和验证cookie。加密cookie已经可以做到了，使用指纹只是加密过程中的一个额外变量。请考虑将更多的验证工作移到服务器端，任何客户端的内容都可能被伪造，几乎从来都不被认为是安全的。指纹识别不会使您的网站更加安全，它只会让用户认为它更加安全。 - Simon Hyll

Answer 1

2018年9月13日宣布的Chrome 70 Beta 引入了Web身份验证。

此外，默认启用了macOS的TouchID和Android的指纹传感器，通过Web身份验证，这允许开发人员通过凭据管理API的PublicKeyCredential类型访问生物识别认证器。

- Pat Needham

Answer 2

这是一项正在研究的技术。目前，火狐和谷歌浏览器已经提供了基本支持：https://developer.mozilla.org/en-US/docs/Web/API/Web_Authentication_API

- rik.vanmechelen