Android应用被绕过生物识别后如何保护认证结果
如果设备上的指纹、人脸等生物识别被绕过，应用已经拿到的登录态是否还安全，是否可以继续直接使用？
不要仅依赖本地登录态
不能直接信任。生物识别本身只是身份校验的一环，一旦被绕过，应用需要把认证结果与更强的校验机制绑定。建议将登录态与服务器签发的短时令牌、设备完整性校验、会话有效期绑定，并在关键操作前重新验证。对于敏感接口，不要只看本地缓存的已认证标记，而应让服务端根据令牌、设备状态和风控结果共同决定是否放行。
应用在完成生物识别后，怎样保存认证结果才不容易被篡改，避免攻击者伪造已通过验证的状态？
用受保护的存储和签名机制
认证结果不应以明文保存在普通本地存储中。可以将会话信息放入 Android Keystore 保护的密钥体系中，对认证状态做签名或加密，并结合硬件支持的安全环境提升抵抗篡改的能力。对本地状态读取时，还应验证时间戳、设备绑定信息和签名有效性，任何异常都应视为未认证状态。
如果生物识别可能被攻击者绕过，应用中哪些业务场景不应该沿用旧的认证结果，而需要重新做人脸或指纹验证？
敏感操作应单独加固
涉及支付、转账、修改密码、导出隐私数据、查看敏感信息、删除账号等高风险操作，都应该单独触发重新认证。即使用户刚刚通过过一次验证，也建议设置较短的认证有效期，过期后再次确认身份。同时可以叠加密码、一次性验证码、设备绑定校验等多因素手段，降低单点失守带来的风险。
即使客户端已经显示通过了生物识别，服务端在接收请求时应该依据什么来确认这次认证结果是真的有效？
让服务端参与认证决策
服务端不应仅相信客户端传来的“已通过”标记，而应验证由安全通道提交的令牌、挑战响应和设备证明信息。更稳妥的做法是采用短时访问令牌、一次性挑战、设备指纹和风控策略联合判断。对异常设备、异常地理位置、异常频率的请求，服务端可以拒绝或要求二次验证。这样即便客户端侧认证被绕过，服务端仍有机会拦截风险请求。