19、指纹认证与App Lock：应用锁实现思路、指纹解锁App、后台切换认证、超时重新锁定

各位同学，今天我们来聊一个非常实用的场景——App Lock，也就是应用锁。

说实话，我最早接触这个需求，是在一个企业级项目里。客户要求：员工打开某个内部App，必须刷指纹才能进。如果切到后台超过30秒，再切回来还得重新认证。嗯，当时我第一反应是：这不就是手机上的「应用锁」嘛？但真正动手做才发现，坑比想象的多。

这一章，我就把App Lock的完整实现思路拆开来讲。包括：怎么设计锁定逻辑、怎么用指纹解锁、怎么处理后台切换、以及超时重新锁定。说白了，就是让你能自己写一个「指纹解锁版的应用锁」。

19.1 应用锁的核心思路

应用锁的本质是什么？说白了就是：在App启动或从后台恢复时，弹出一个认证界面，认证通过才能继续使用。

我习惯把整个流程拆成三个环节：

• 触发检测：什么时候需要锁？——App启动时、从后台切回时、解锁失败后。
• 认证执行：用什么方式锁？——指纹、密码、图案等。我们这里重点讲指纹。
• 状态管理：锁多久？——超时时间、是否允许跳过、是否记住设备等。

你想想看，这三个环节串起来，就是一个完整的App Lock生命周期。

19.2 指纹解锁App的实现

指纹解锁这块，Android官方提供了BiometricPrompt API。从Android 9开始，这个API就非常成熟了。我个人建议，新项目直接用BiometricPrompt，别再用老旧的FingerprintManager了。

下面是一个典型的指纹解锁流程：

// 1. 创建BiometricPrompt实例
BiometricPrompt biometricPrompt = new BiometricPrompt(
    this,
    executor,
    new BiometricPrompt.AuthenticationCallback() {
        @Override
        public void onAuthenticationSucceeded(
                @NonNull BiometricPrompt.AuthenticationResult result) {
            // 认证成功，解锁App
            unlockApp();
        }

        @Override
        public void onAuthenticationFailed() {
            // 认证失败，可以提示用户重试
            showError("指纹不匹配，请重试");
        }

        @Override
        public void onAuthenticationError(int errorCode,
                @NonNull CharSequence errString) {
            // 发生错误，比如指纹传感器被频繁调用
            showError("认证错误: " + errString);
        }
    });

// 2. 配置认证参数
BiometricPrompt.PromptInfo promptInfo = new BiometricPrompt.PromptInfo.Builder()
    .setTitle("应用锁")
    .setSubtitle("请验证指纹以解锁")
    .setNegativeButtonText("使用密码")
    .build();

// 3. 启动认证
biometricPrompt.authenticate(promptInfo);

这里有个细节要注意：setNegativeButtonText 是必须的。为什么？因为如果用户指纹一直失败，或者设备不支持指纹，你得给用户一个「备用方案」。我一般会弹出一个密码输入框，让用户用App密码解锁。

19.3 后台切换认证

这是App Lock里最容易出bug的地方。用户正在用App，突然来个电话，或者切出去回个微信，再切回来——这时候要不要重新认证？

我的做法是：监听App的前后台状态。具体来说，利用 ActivityLifecycleCallbacks 或者 ProcessLifecycleOwner 来判断。

下面是我常用的一个工具类：

public class AppLockManager {
    private static final long LOCK_TIMEOUT_MS = 30_000; // 30秒超时
    private long lastActiveTime = 0;
    private boolean isLocked = false;

    public void onAppForeground() {
        long now = System.currentTimeMillis();
        if (isLocked) {
            // 已经锁定，直接弹认证
            showLockScreen();
        } else if (now - lastActiveTime > LOCK_TIMEOUT_MS) {
            // 超时了，重新锁定
            isLocked = true;
            showLockScreen();
        } else {
            // 在超时时间内，直接进入
            // 不需要重新认证
        }
    }

    public void onAppBackground() {
        lastActiveTime = System.currentTimeMillis();
        // 这里可以决定是否立即锁定
        // 有些App设计成「切后台立即锁定」
        // 有些则是「切后台超过N秒才锁定」
        // 我习惯用「立即锁定」+「超时解锁」的组合
        isLocked = true;
    }

    private void showLockScreen() {
        // 启动一个透明的Activity，或者弹DialogFragment
        // 里面调用BiometricPrompt进行指纹认证
    }
}

你可能会问：为什么切后台时要立即锁定？嗯，这是安全考虑。如果用户切出去后手机被别人拿走了，再切回来时，如果没有锁定，那别人就能直接看到App内容了。所以，我建议「切后台立即锁定」，然后「切前台时判断超时」。

19.4 超时重新锁定

超时重新锁定，说白了就是：用户解锁后，在一定时间内没有操作，App自动重新锁定。

这个「一定时间」怎么定？我见过几种方案：

策略	说明	适用场景
固定超时	比如30秒、1分钟、5分钟	大多数App，简单直接
基于用户行为	用户有触摸操作时重置计时器	银行类App，更安全
基于屏幕状态	屏幕熄灭时立即锁定	高安全场景，比如支付

我个人比较推荐「固定超时 + 屏幕状态」的组合。具体做法：

• 用户解锁后，记录解锁时间。
• 注册一个 ScreenOnOffReceiver，监听屏幕亮灭。
• 屏幕熄灭时，立即标记为「需要重新认证」。
• 屏幕亮起时，判断是否超时，超时则弹指纹。

这样既保证了安全性，又不会让用户频繁解锁（比如只是切出去回个消息，30秒内回来就不用再刷指纹）。

19.5 整体架构图

下面我用一张SVG图，把整个App Lock的流程串起来。你一看就明白了。

这张图把整个流程讲得很清楚：App启动或恢复 → 判断是否锁定/超时 → 需要锁定则弹指纹 → 认证成功则解锁，失败则继续锁定。你写代码时，就按这个流程来。

19.6 一些实用建议

最后，我分享几个在实际项目中踩过的坑，希望能帮你少走弯路：

• 不要用Application的onCreate来初始化锁。因为Application的onCreate在App启动时就会调用，但此时界面还没准备好。我建议在第一个Activity的onCreate里初始化。
• 指纹弹窗不要重复弹出。如果用户连续按返回键，可能会触发多次authenticate调用。我习惯用一个布尔变量 isShowingLock 来控制，防止重复弹窗。
• 考虑低端机型的性能。有些老手机的指纹传感器响应很慢，甚至不支持。这时候要优雅降级到密码解锁，别让用户卡在锁屏界面。
• 测试要覆盖「锁屏后立即切回」的场景。我曾经遇到一个bug：用户锁屏后马上解锁，结果指纹弹窗和系统锁屏冲突，导致App崩溃。后来我加了一个延迟（比如200ms）再弹窗，问题就解决了。

好了，这一章的内容就到这里。代码示例和流程图都在上面了，你可以直接拿去用。如果遇到什么问题，欢迎随时交流。