一、前置思考

多设备协同（手机投屏到电视、导航流转到车机、文件跨设备分享）带来便利的同时，也带来了全新的安全挑战：

• 数据在设备间传输，怎么保证不被窃听？
• 目标设备怎么确认可信？是不是伪装的设备？
• 跨设备授权怎么控制时效？授权会不会成为永久后门？
• 出了安全事件，跨设备的操作怎么溯源？

分布式安全的核心不是"单个设备的安全"，而是**“设备间信任关系的建立与管控”**。

理解跨设备安全，首先要理解它与单设备安全的三个本质差异：

1. 信任面扩大了：单设备安全只需信任"本机系统"，跨设备场景要信任"远端设备的系统 + 传输链路 + 账号体系"，任何一环都可能成为攻击点。
2. 授权是临时的：单设备权限是长久的（用户授权一次），跨设备协同是一次性的、短时的（投屏 2 小时），授权模型必须是"用完即失效"的临时授权。
3. 攻击面是分布式的：攻击者可能在传输链路中间、可能在伪装的设备上、可能在账号体系内，溯源必须横跨多台设备。

二、核心原理

2.1 跨设备安全协同全景

┌─────────────────────────────────────────────┐
│            跨设备安全协同体系                 │
│                                              │
│  ① 设备认证                                   │
│     发现 → 交换公钥 → 双向认证 → 建立信任       │
│                                              │
│  ② 数据加密传输                               │
│     会话密钥协商 · TLS级加密 · 防窃听          │
│                                              │
│  ③ 临时授权                                   │
│     时效Token · 用后即失效 · 最小范围           │
│                                              │
│  ④ 操作审计                                   │
│     跨设备操作全量留痕 · 可溯源                 │
└─────────────────────────────────────────────┘

2.2 设备认证流程

设备A（手机）                    设备B（平板）
    │                               │
    │ 1. 软总线发现设备 ──────────→  │
    │                               │
    │ 2. 交换公钥（基于账号体系）      │
    │ ←──────────────────────────── │
    │                               │
    │ 3. 双向认证（校验对方身份签名）  │
    │ ────────────────────────────→ │
    │ ←──────────────────────────── │
    │                               │
    │ 4. 协商会话密钥（ECDH）         │
    │ ────────────────────────────→ │
    │                               │
    │ 5. 建立加密通道 ────────────→  │
    │                               │
    │ 6. 签发临时授权Token            │
    │ ←──────────────────────────── │
    ▼                               ▼

认证基础：同账号 + 设备证书。只有同一个华为账号下的设备，且通过设备证书双向验证，才能建立可信连接。

设备认证的每一步都对应一个威胁模型：

步骤	防什么攻击	原理
软总线发现	伪造设备广播	发现的设备不直接信任，只进入候选列表
交换公钥	中间人窃听公钥	公钥本身可公开，重点是后续签名验证
双向认证	冒充设备身份	私钥签名，验证方用公钥验签
ECDH 协商	会话密钥泄露	前向安全，每次会话独立密钥
临时授权	授权滥用	时效 + 最小范围 + 可撤销

碰一碰/扫码的作用：除了账号信任，还可以叠加"物理接触确认"（NFC 碰一碰、扫码），防止"同账号但非本人设备"的冒用场景。物理动作是最难远程伪造的信任因子。

2.3 数据加密传输

• 会话密钥：每次协同会话独立协商（前向安全），会话结束密钥即销毁
• 传输加密：数据经软总线安全信道传输，等效 TLS 强度
• 完整性校验：数据带签名/校验，防篡改

前向安全的意义：如果某次会话的密钥泄露（比如被临时提取），攻击者只能解密这一次会话的数据，无法回溯解密历史会话——因为每次会话的密钥都不同且已销毁。

2.4 临时授权机制

// 临时授权示意
interface TempGrant {
  token: string;        // 授权令牌
  scope: string;        // 授权范围（哪些能力）
  expireAt: number;     // 过期时间
  revocable: boolean;   // 可撤销
}

class TempGrantManager {
  // 签发临时授权：默认 10 分钟有效
  static issue(scope: string, ttlMs: number): TempGrant {
    return {
      token: 'TG-' + Date.now().toString(36),
      scope: scope,
      expireAt: Date.now() + ttlMs,
      revocable: true
    };
  }

  // 校验：过期/被撤销即拒绝
  static validate(grant: TempGrant): boolean {
    return Date.now() < grant.expireAt;
  }
}

临时授权铁律：

• 有时效：默认 10 分钟，超时自动回收
• 最小范围：只授权本次协同所需能力
• 可撤销：协同结束立即撤销

2.5 跨设备操作审计

每次跨设备操作都记录：操作者设备、目标设备、操作类型、认证方式、结果。任何设备可被审计，形成跨设备操作全链路溯源。

审计要解决的核心问题：当异常发生时（比如"平板上的相册被删了"），能不能回答"是谁、在哪台设备、什么时候、通过什么授权做的"。

三、实战落地

对应 Demo 页面：entry/src/main/ets/pages/CrossDeviceSecurityDemo.ets

Demo 包含三个 Tab：

1. 设备认证：逐步动画演示"发现设备→交换公钥→双向认证→建立加密通道→签发临时授权"五阶段认证流程
2. 加密通道：展示设备信任列表（手机/平板/车机），支持信任新设备演示，强调加密传输要点
3. 操作审计：展示跨设备操作记录（流转导航/读取相册/同步联系人），支持模拟新的跨设备操作并审计

// Demo 核心：设备互认证五阶段
private startAuth(): void {
  this.authStages = [
    { stage: '发现设备', desc: '软总线发现附近可信设备', status: 'wait' },
    { stage: '交换公钥', desc: '基于账号体系生成会话密钥', status: 'wait' },
    { stage: '双向认证', desc: '双方校验对方身份签名', status: 'wait' },
    { stage: '建立加密通道', desc: '协商对称密钥，开始加密传输', status: 'wait' },
    { stage: '签发临时授权', desc: '为本次协同会话签发临时Token', status: 'wait' }
  ];
  // 每阶段 400ms 逐级完成
  for (let i: number = 0; i < this.authStages.length; i++) {
    const idx: number = i;
    setTimeout(() => {
      this.authStages[idx].status = 'pass';
    }, 400 * (idx + 1));
  }
}

3.1 业务侧落地清单

接入前检查：

• 协同功能前先检查设备认证状态（是否同账号、是否已信任）
• 明确本次协同需要的授权范围（最小化）
• 定义授权时效（传输大文件可延长，临时查看要缩短）

接入中实现：

• 所有跨设备数据走分布式加密接口，禁止自拼明文通道
• 授权令牌统一管理：签发、校验、撤销三个入口收敛
• 跨设备操作统一接入审计框架（来源设备、目标设备、操作、结果）

上线后监控：

• 定期审查授权令牌的签发记录，发现异常授权立即撤销
• 审计日志中异常操作（非本人设备操作）触发告警
• 设备信任列表变更（解绑设备）要即时生效

五、跨设备安全的工程化深入

5.1 设备信任的两种模型

跨设备协同的设备信任有两种模型，适用场景不同：

模型	信任依据	优点	缺点	适用
账号信任	同一华为账号下的设备自动互信	零操作，体验顺滑	账号被盗则全设备失守	低敏感协同（投屏、流转）
物理信任	碰一碰/扫码/配对码确认	防账号冒用，信任强	每次协同都要操作	高敏感场景（支付、文件）

实践建议：默认账号信任 + 高敏感操作叠加物理确认。投屏用账号信任就够，转账到另一台设备则必须物理确认。

5.2 临时授权的撤销机制

临时授权"可撤销"要真正落地，需要三层撤销：

第一层：本地令牌撤销（协同结束钩子中调用 revoke）
第二层：设备间撤销广播（撤销后通知对端设备令牌失效）
第三层：服务端撤销（云端记录撤销状态，防离线设备延迟）

三层缺一不可：只做本地撤销，对端设备可能还在用；只做服务端撤销，离线场景响应慢；三层联动才能保证"协同一结束，授权立即失效"。

5.3 跨设备审计的字段设计

跨设备操作审计要能回答"哪台设备对哪台设备做了什么"，字段设计上比单设备审计多两个关键维度：

interface CrossDeviceAuditEvent {
  operatorDevice: string;   // 操作发起设备
  targetDevice: string;     // 操作目标设备
  operation: string;        // 操作类型
  authMethod: string;       // 认证方式（账号/碰一碰/扫码）
  grantToken: string;       // 使用的授权令牌
  result: string;           // 结果
  timestamp: number;
}

grantToken 字段尤其重要：它把"一次授权"和"该授权下的所有操作"关联起来，异常授权可以一键追溯所有关联操作。

5.4 分布式场景的威胁建模清单

上线跨设备功能前，用威胁建模过一遍：

威胁	场景	缓解
设备冒充	伪造设备广播接入协同	双向认证 + 设备证书
链路窃听	抓包解密跨设备数据	会话密钥 + 安全信道
授权滥用	授权范围过大被利用	最小范围授权 + 时效
会话重放	录制会话数据重放	时间戳 + 随机数 + 签名
账号冒用	账号被盗后远端设备越权	物理确认 + 行为分析
解绑滞后	设备解绑后仍可访问	解绑即时广播 + 服务端校验

六、避坑速查

坑	现象	原因	解决
设备认证失败	流转提示"设备不可信"	设备未登录同账号/未碰一碰	引导用户完成设备信任建立
临时授权过期	协同中途中断	授权时效太短	根据场景调整 TTL，如文件传输 30 分钟
授权范围过大	一次授权后可做任意操作	scope 未细分	按能力最小授权
会话密钥泄露	历史数据可被解密	未做前向安全	每次会话独立协商密钥
跨设备数据明文	抓包能看到数据	未走安全信道	确保走分布式加密传输接口
审计缺失	无法定位异常设备	未记录跨设备操作	全量审计 + 上报
设备解绑不同步	已解绑设备还能访问	信任列表更新延迟	解绑即时广播 + 服务端校验
授权撤销失效	协同结束后还能访问	未在结束时撤销	协同结束钩子里统一撤销授权
账号被盗风险	攻击者用同账号设备	仅依赖账号信任	叠加碰一碰/扫码物理确认
忽略传输完整性	数据被篡改	未做签名校验	数据带签名/校验和

五、总结

跨设备安全协同的四个支柱：

1. 设备认证：同账号 + 设备证书双向验证，建立信任
2. 加密传输：会话密钥 + 安全信道，防窃听防篡改
3. 临时授权：有时效、最小范围、可撤销
4. 操作审计：跨设备操作全链路留痕

落地建议：

• 协同功能前先做设备认证状态检查
• 授权务必带时效和最小范围
• 跨设备操作统一接入审计框架
• 物理确认（碰一碰/扫码）能显著提升高敏感场景的安全性
• 前向安全是底线：会话密钥必须每次独立协商，不可复用