数据最小化。不讨论如何从终端提取生物特征文件。

鸿蒙人脸识别人证比对的审计需求很强：谁在何时用哪张证核验、结果如何。生物特征合规需求同样强：能不留原图就不留。两者冲突时，现场容易走向极端——全留原图，或只打「成功」两个字导致无法复盘误放。

---

一、建议默认保留

会话 ID、时间、设备号、证号掩码（不是明文全号）、比对分、活体分、质量分、结果枚举、操作员。
芯片照和现场原图：默认不上传平台；终端按策略短暂缓存，超时删除。

争议单需要图时，走授权导出，而不是 MQTT 默发。这和通行抓拍策略一致，人证更应严，因为证号与人脸同时出现。

---

二、消费与通行的对照

通行日志：门点 + 人 ID。
消费流水：金额 + 人 ID，一般更不需要脸图。
人证：人和证的关系，分比图更有用。

鸿蒙人脸识别消费机若把每次扣款脸图都上传，食堂高峰会变成视频平台。识别在端侧完成即可。云识客等强调本机比对的整机，技术叙事应落在「原图默认不出设备」，而不是「我们更智能」。

---

三、在线核验时的第三方

在线查证状态可能经过政务或行业核验通道。终端侧应只传必要证信息，人脸比对仍优先在开源鸿蒙本机做完，避免把现场视频流送到与门禁无关的网络。路径要画进数据流图，评委问「人证在线」时才答得清。

纳入信创或等保材料时，写路径和留存周期；是否满足某名录按项目验证。

---

四、日志与算法迭代

没有分、没有质量门控结果，算法包无法针对人证失败做回归。隐私最小化不是零诊断。自研算法与应用同一日历时，更容易做到「有分无图」。外挂 SDK 要确认回调里有分、且默认不吐图。

---

五、小结

人证比对日志用分和枚举复盘，用图做例外。通行和消费更应少图。欢迎讨论你们争议单导出是否走双人授权。