本文同步发表于微信公众号，微信搜索 程语新视界 即可关注，每个工作日都有文章更新

   在应用开发中，身份认证是一个核心功能。传统的密码登录方式存在记忆成本高、安全性风险大等问题。鸿蒙系统提供了Online Authentication Kit（在线认证服务），支持使用生物特征（指纹、3D人脸）代替密码，实现免密登录、免密支付等业务场景。

一、Online Authentication Kit

Online Authentication Kit（在线认证服务）遵循FIDO、FIDO2、IIFAA和SOTER标准免密认证规范，提供免密身份认证的移动端能力。

核心能力

能力	说明
免密登录	用生物特征代替密码，实现一键登录
免密支付	用指纹/3D人脸完成支付验证
跨设备认证	支持通行密钥跨设备扫码认证

二、四种认证标准

2.1 FIDO

全称：Fast Identity Online

定位：国际主流的免密认证标准

支持情况：几乎所有的设备厂商都支持FIDO免密认证协议

典型应用：中国工商银行、中国银行、农业银行、交通银行等各大行，以及众多证券、金融APP

 参考示例：sample-FIDOclientdemo

2.2 IFAA / IIFAA

全称：互联网可信认证联盟

成立背景：2015年由中国信通院、蚂蚁集团、阿里巴巴、华为、中兴、三星联合发起

定位：致力于推动可信认证技术发展及行业应用，引领行业制定技术规范

本地免密技术规范：用于支持免密登录、免密支付等业务场

 参考示例：sample-IFAAclientdemo

说明：IFAA在本文中指HarmonyOS系统免密认证模块，IIFAA在本文中指联盟及相关技术规范。

2.3 SOTER

定位：提供一套生物认证平台和标准

能力：业务可以采用设备上的传感器（如人脸传感器/指纹传感器）进行安全、高效的免密登录、免密支付等操作

应用场景：已广泛应用于微信小程序/公众号、指纹支付等业务场景

 参考示例：samplecode-SOTERclientdemo

2.4 通行密钥（Passkey）

基于标准：FIDO2标准协议

定义：一种简单又安全的登录方式

认证方式：用户可使用指纹、人脸或手机解锁PIN码登录应用

优势：相较于传统密码，更便捷、安全

 参考示例：

• samplecode-FIDO2clientdemo-arkts

• samplecode-FIDO2clientdemo-cpp

三、认证标准对比

标准	发起方	典型应用	特点
FIDO	FIDO联盟	银行、证券APP	国际主流，生态成熟
IFAA/IIFAA	中国信通院、蚂蚁集团等	支付宝等	国内标准，联盟主导
SOTER	腾讯等	微信小程序/公众号	微信生态常用
通行密钥	FIDO2标准	应用+网页登录	跨设备、无密码

四、支持场景

4.1 IIFAA和FIDO支持的场景

场景	说明
开通	开通（指纹/3D人脸）免密身份认证
认证	使用（指纹/3D人脸）进行免密身份认证
注销	注销已开通的（指纹/3D人脸）免密身份认证

4.2 通行密钥支持的场景

场景	说明
通行密钥注册	使用用户身份认证特征（人脸、指纹、PIN码）作为平台认证器，创建通行密钥
本地免密认证	使用通行密钥在本设备上进行应用或网页的免密认证
跨设备扫码认证	使用已注册通行密钥的移动设备作为漫游认证器，通过扫码在其他设备上认证

五、使用限制

5.1 开发者要求

要求	说明
服务端部署	应用需要部署相应的服务端

5.2 设备要求

要求	说明
生物特征支持	移动端设备需要支持相应的生物特征（指纹/3D人脸）
认证可信等级	需设备支持ATL4级别的认证可信等级（参见User Authentication Kit）
网络要求	移动端设备在使用此能力时需要处于联网状态
模拟器	该能力目前不支持模拟器

5.3 支持的设备类型

设备类型	支持情况
Phone	支持
PC/2in1	支持
Tablet	支持
其他设备	不支持

5.4 支持的国家和地区

地区	支持情况
中国境内	支持
香港特别行政区	不支持
澳门特别行政区	不支持
中国台湾	不支持

六、应用场景示例

6.1 免密登录流程

用户打开应用
    ↓
点击"指纹登录"按钮
    ↓
系统弹出指纹验证弹窗
    ↓
用户验证指纹
    ↓
验证通过，自动登录

6.2 免密支付流程

用户提交订单
    ↓
点击"指纹支付"按钮
    ↓
系统弹出指纹验证弹窗
    ↓
用户验证指纹
    ↓
验证通过，完成支付

6.3 通行密钥注册流程

用户注册/设置
    ↓
点击"创建通行密钥"
    ↓
系统弹出生物特征验证（指纹/人脸/PIN码）
    ↓
验证通过，创建通行密钥
    ↓
后续可使用通行密钥登录

总结

要点	说明
四种标准	FIDO、IFAA、SOTER、通行密钥
核心场景	开通、认证、注销
认证方式	指纹、3D人脸、PIN码
设备要求	支持生物特征、ATL4等级、联网
支持设备	Phone、PC/2in1、Tablet

选择建议

场景	推荐标准
银行/金融类应用	FIDO
支付宝生态	IFAA/IIFAA
微信小程序/公众号	SOTER
通用无密码登录	通行密钥（Passkey）

开发前提

1. 部署服务端：需要部署相应的认证服务端

2. 设备支持：确认设备支持指纹/3D人脸生物特征

3. 联网状态：设备需要处于联网状态