为应用程序实现PIN码安全模型

Question

我注意到很多应用程序，甚至是像金融应用程序这样处理敏感信息的应用程序，都有这种安全模式：用户首先使用用户名/密码登录，然后只需输入PIN即可访问该应用程序。我想知道这通常是如何实现的。它只是通过将散列凭证存储到本地数据库并将其绑定到PIN来完成吗？

Answer 1

用户名/密码登录应该是远程服务器上身份验证和授权的默认登录。您可以将应用程序设置为登录一次，从服务器获取身份验证令牌，然后使用此身份验证令牌登录以进行后续访问。

作为一种选择，您可以要求用户每次登录。

您应该使用PIN来限制对整个应用程序的访问，包括任何本地数据。话虽如此，PIN码并不是特别安全。如果您想要额外的安全级别，请考虑使用OTP。