23、指纹认证与文件加密：使用指纹加密/解密文件、大文件分块加密、性能优化

指纹认证这事儿，咱们前面聊了不少。但说实话，光用来解锁手机、支付验证，有点大材小用了。真正能体现指纹价值的场景，我觉着是——用指纹来加密文件。

你想想看，用户把私密文档存在手机里，如果只是普通文件系统加密，那只要攻破锁屏密码，数据就全裸奔了。但如果我们把文件加密密钥跟用户的指纹绑定在一起，那就算手机丢了，别人也解不开你的文件。嗯，这才是生物识别的正确打开方式。

23.1 核心思路：用指纹保护密钥，用密钥保护文件

这里有个关键点，我必须先讲清楚：指纹本身不适合直接加密文件。

为什么？因为指纹模板每次验证返回的都是一个布尔值（通过/不通过），而不是一个固定的密码串。你没法拿它当AES密钥来用。我在项目中第一次做这个功能时，就踩过这个坑——想着把指纹特征值转成密钥，结果发现Android根本不允许你拿到原始指纹数据。

正确的做法是：

  • 生成一个随机的对称密钥（比如AES-256），用来加密文件。
  • 用指纹保护这个密钥：把密钥存入Android Keystore，并设置只允许在指纹验证通过后才能使用。
  • 加密文件时：从Keystore取出密钥，对文件进行AES加密。
  • 解密文件时：先验证指纹，验证通过后Keystore才允许你使用密钥，然后解密。

一句话总结：指纹是门卫，密钥是保险箱钥匙，文件是保险箱里的宝贝。

23.2 生成并存储指纹保护的密钥

在Android上，这事得靠 KeyGenParameterSpec 配合 BiometricPrompt 来完成。我习惯这么写：

// 生成密钥，绑定到指纹
KeyGenParameterSpec spec = new KeyGenParameterSpec.Builder(
        "file_encrypt_key",
        KeyProperties.PURPOSE_ENCRYPT | KeyProperties.PURPOSE_DECRYPT)
        .setBlockModes(KeyProperties.BLOCK_MODE_GCM)
        .setEncryptionPaddings(KeyProperties.ENCRYPTION_PADDING_NONE)
        .setUserAuthenticationRequired(true)  // 必须指纹验证
        .setInvalidatedByBiometricEnrollment(true) // 新增指纹时失效
        .build();

KeyGenerator keyGenerator = KeyGenerator.getInstance(
        KeyProperties.KEY_ALGORITHM_AES, "AndroidKeyStore");
keyGenerator.init(spec);
keyGenerator.generateKey();

注意 setUserAuthenticationRequired(true) 这行。它告诉Keystore：这个密钥不能直接拿出来用，必须先通过生物识别验证。另外 setInvalidatedByBiometricEnrollment(true) 也很重要——如果用户新增了指纹，之前的密钥就自动失效，防止旧指纹还能解密。

小提示： 我个人习惯把密钥别名命名为 "file_encrypt_key_v1" 这种带版本号的格式，方便以后做密钥轮换。别问我为什么，问就是吃过亏。

23.3 加密文件：小文件直接干，大文件分块搞

文件加密本身不复杂，但文件大小决定了策略。

23.3.1 小文件（比如小于10MB）

直接一次性读入内存，加密后写出。简单粗暴：

// 获取密钥
SecretKey key = (SecretKey) keyStore.getKey("file_encrypt_key", null);

// 初始化加密器
Cipher cipher = Cipher.getInstance("AES/GCM/NoPadding");
cipher.init(Cipher.ENCRYPT_MODE, key);

// 加密文件
byte[] plainBytes = Files.readAllBytes(inputPath);
byte[] cipherBytes = cipher.doFinal(plainBytes);

// 保存加密后的文件 + IV（初始化向量）
byte[] iv = cipher.getIV();
Files.write(outputPath, iv);
Files.write(outputPath, cipherBytes, StandardOpenOption.APPEND);

这里有个细节：GCM模式需要IV，而且解密时必须用到。所以我习惯把IV直接拼在加密文件头部，解密时先读前12个字节取IV。

23.3.2 大文件（比如几百MB的视频）

一次性读入内存？别闹，手机内存扛不住。这时候必须分块加密。

分块加密的核心思路：

  • 把文件切成固定大小的块（比如每块1MB）。
  • 每块独立加密，但使用同一个密钥。
  • 每块需要独立的IV（或者用计数器模式）。
  • 加密后的块按顺序写入输出文件。

我项目中用过的一个方案：

// 大文件分块加密伪代码
int blockSize = 1024 * 1024; // 1MB
byte[] buffer = new byte[blockSize];
int bytesRead;

Cipher cipher = Cipher.getInstance("AES/GCM/NoPadding");
// 注意：每块都用新的IV
byte[] iv = generateRandomIV(); // 12字节
cipher.init(Cipher.ENCRYPT_MODE, key, new GCMParameterSpec(128, iv));

// 先写块数量、每块大小、第一块IV
writeHeader(outputStream, totalBlocks, blockSize, iv);

while ((bytesRead = inputStream.read(buffer)) != -1) {
    if (bytesRead < blockSize) {
        // 最后一块，可能不足1MB
        buffer = Arrays.copyOf(buffer, bytesRead);
    }
    byte[] encryptedBlock = cipher.doFinal(buffer);
    // 写加密后的块
    writeBlock(outputStream, encryptedBlock);
    // 生成下一块的IV（简单递增计数器）
    incrementIV(iv);
    cipher.init(Cipher.ENCRYPT_MODE, key, new GCMParameterSpec(128, iv));
}

注意： 分块加密时，每块必须使用不同的IV。如果两块用了相同的IV和相同的密钥，那加密就形同虚设了。我曾经见过有人偷懒复用IV，结果安全审计直接挂了。

23.4 解密文件：指纹验证是前提

解密流程跟加密对称，但多了一步——必须先验证指纹。

具体做法：

  1. 用户点击「解密文件」。
  2. 弹出 BiometricPrompt 让用户按指纹。
  3. 验证通过后，在回调中创建 CryptoObject，绑定到之前生成的密钥。
  4. 用这个 CryptoObject 初始化 Cipher，然后解密。
// 指纹验证回调
new BiometricPrompt(this, executor, new BiometricPrompt.AuthenticationCallback() {
    @Override
    public void onAuthenticationSucceeded(BiometricPrompt.AuthenticationResult result) {
        // 拿到Cipher对象
        Cipher cipher = result.getCryptoObject().getCipher();
        // 开始解密文件...
        decryptFile(cipher, encryptedFile, outputFile);
    }
}).authenticate(cryptoObject);

注意：CryptoObject 必须在验证前就创建好，并且绑定到正确的密钥。如果密钥要求指纹验证，但你没传 CryptoObject，那 BiometricPrompt 会直接报错。

23.5 性能优化：别让加密拖慢用户体验

文件加密是个耗时的操作，尤其是大文件。如果不做优化，用户会以为App卡死了。我总结了几条实战经验：

优化点 做法 效果
异步执行 加密/解密操作放到后台线程，不要阻塞UI 界面不卡顿
分块大小调优 根据设备内存调整块大小（512KB~4MB） 减少内存压力
使用NIO 用FileChannel + ByteBuffer代替传统IO 减少拷贝次数
进度回调 每加密一块就更新进度条 用户知道还在跑
硬件加速 Android 9+支持AES硬件加速，默认开启 速度提升3~5倍

另外，我个人习惯在加密前先检查文件大小。如果文件小于1MB，直接用内存加密；如果大于1MB，自动切换到分块模式。这样既保证了小文件的效率，又避免了大文件的内存溢出。

23.6 本章知识体系

下面这张图把整个流程串起来了，你可以对照着理解：

指纹认证与文件加密核心流程 用户触发加密/解密 BiometricPrompt 指纹验证 验证通过？ 提示失败，拒绝访问 获取CryptoObject 判断文件大小 小文件：内存加密 大文件：分块加密

23.7 避坑指南

最后，分享几个我踩过的坑：

  • 密钥失效问题：如果用户删除了所有指纹再重新录入，之前生成的密钥会失效。所以加密前最好检查密钥是否可用，不可用就提示用户重新设置。
  • GCM模式限制：AES/GCM模式下，单次加密的数据量不能超过64GB（因为计数器溢出）。对于手机文件来说基本够用，但如果加密超大文件，建议改用CBC或CTR模式。
  • IV存储位置：千万不要把IV硬编码在代码里。我习惯把IV和加密数据放在同一个文件里，解密时先读IV。这样即使文件被拷贝到其他设备，没有正确的IV也解不开。
  • 后台指纹验证：Android 10+支持后台指纹验证（不需要弹窗），但需要配合 BiometricManager 检查设备是否支持。如果不支持，还是老老实实弹窗吧。

嗯，指纹加密文件这块，说白了就是「用指纹管钥匙，用钥匙开门」。只要把密钥的生命周期管理好，剩下的就是文件IO的体力活了。希望这些经验能帮你少走弯路。

公众号:蓝海资料掘金营，微信deep3321

← 上一章 📖 返回目录 下一章 →