指纹和面容登录：它保护了什么、没保护什么
它并没有替代密码
在 开云登录 相关的应用里开启指纹或面容登录后，打开就能进，非常方便。
但它的实际作用，和多数人以为的不一样。
先说原理：
生物特征不会被上传。 指纹和面容数据存在设备的安全芯片里，应用拿不到，服务器也拿不到。
校验在本地完成。 设备验证通过后，向应用返回一个"是本人"的信号。
应用凭这个信号，解锁本地保存的凭证 ——通常是那个长期有效的会话凭证或加密后的密码。
所以准确的说法是：生物识别解锁的是设备上已有的凭证，而不是重新向服务器证明你的身份。
这个区别引出后面所有的结论。
它保护了什么
几条实际的：
防止旁人窥屏偷密码。 不用输入，就没有被看到的机会。
避免密码在输入路径上暴露。 第三方输入法能看到你输入的每一个字符，生物识别绕开了这条路径。
降低使用弱密码的动机。 因为不用天天输，可以设一个很长很复杂的密码。
这是它最实在的一个好处——它让"用高强度密码"这件事变得没有成本。配合密码管理器：管理器生成并保存高强度密码，生物识别解锁管理器，你一个都不用记。
它没保护什么
这一节是重点。
一、设备被解锁的情况。
如果别人能解锁你的手机（知道锁屏密码、或你把手机解锁着交给了别人），那生物识别形同虚设——因为多数系统允许用锁屏密码代替生物识别。
所以锁屏密码的强度，就是生物识别的强度上限。六位数字锁屏，配再好的面容识别，安全级别还是六位数字。
二、会话凭证被窃取的情况。
生物识别解锁的是本地凭证。如果这个凭证被恶意软件读走，攻击者在别的设备上直接使用，不需要你的指纹。
这也是为什么二次验证和生物识别不能互相替代。
三、被强迫的情况。
面容或指纹在你不配合的情况下也可能被使用，而密码不会。多数系统提供快速禁用生物识别的方式（比如连续按几次电源键），值得知道怎么用。
四、注册了别人的生物特征。
如果设备上录入了不止一组指纹或面容，那些人都能解锁。建议检查一次：设置里看看录了几组，不认识的删掉。
什么时候该用密码
几个场景，用密码比生物识别更稳妥。
做大额资金操作时。 部分应用支持对敏感操作单独要求密码或支付密码——建议开启，不要图省事全用生物识别。
修改账户绑定信息时。
在别人在场的情况下。
设备刚刚借给别人用过之后。
一个通用做法：把"登录"和"资金操作"两级分开。登录用生物识别（方便），资金操作单独设一道验证（支付密码或二次验证）。
整套安全的层级
把生物识别放到整套账号安全里，就知道它的位置。
第一层：来源正确。 从固定书签或官方应用进入，不搜索、不点转发、不扫码。这一层错了，后面都白搭。
第二层：密码。 独立、高强度、用密码管理器生成保存。撞库是最常见的入侵方式。
第三层：二次验证。 验证器应用优于短信（短信可被 SIM 卡补办攻击绕过）。恢复码离线保存，不要只截图存在同一部手机里。
第四层：会话管理。 定期看登录设备列表，发现陌生设备先远程下线、再改密码（顺序不能反，部分平台改密码不会作废已有会话）。
第五层：生物识别。 它在最上层，解决的是"日常使用的便利与输入安全"，不是"账号安不安全"。
所以：开生物识别是好事，但它替代不了下面任何一层。
换设备和丢设备时
生物识别是设备本地的，这两个场景要单独处理。
换设备：
旧设备先正常退出登录，再卸载。 退出登录会让服务端清除该设备的会话，卸载不会。
新设备登录后立刻检查设备列表，把旧的清掉。
生物识别要在新设备上重新开启 ——它不会跟着账号走。
丢设备：
顺序是：挂失 SIM 卡 → 远程锁定设备 → 下线各平台会话 → 改密码 → 检查绑定信息和账变明细 → 检查支付授权。
注意：生物识别在这里帮不上忙。如果对方能解锁设备，已保存的凭证就是可用的。这也是"远程下线会话"这一步不能省的原因——它是能立即切断对方访问的动作。
一个五分钟的检查
把生物识别和它下面几层一起过一遍。
一、看设备上录了几组指纹/面容，不认识的删掉。
二、把锁屏密码换成更长的——它是整套生物识别的安全上限，六位数字就是六位数字的强度。
三、知道怎么快速禁用生物识别（多数系统连按几次电源键即可），被强迫时用得上。
四、给资金操作单独设一道验证，不要图省事全用生物识别。
五、确认二次验证已开启，恢复码离线保存（不是只截图存在这部手机里）。
六、看一眼登录设备列表，发现陌生设备先远程下线、再改密码。
这五分钟覆盖的，是"设备被解锁""凭证被窃取""被强迫"这几种生物识别本身挡不住的情况——而这些恰恰是它最容易给人虚假安全感的地方。
记住那句话：生物识别在整套安全的最上层，它让日常使用方便、让输入安全，但账号是否安全，取决于下面的来源、密码、二次验证、会话管理这几层。
常见问题 FAQ
问：指纹数据会被上传吗？
不会。生物特征存在设备的安全芯片里，应用和服务器都拿不到。校验在本地完成，只返回"是本人"的信号。
问：生物识别能替代二次验证吗？
不能。它解锁的是设备上已有的凭证；如果凭证被窃取，攻击者在别的设备上直接用，不需要你的指纹。
问：它的安全上限是什么？
锁屏密码的强度。多数系统允许用锁屏密码代替生物识别，所以六位数字锁屏就是六位数字的安全级别。
问：什么时候该改用密码？
大额资金操作、修改绑定信息、有旁人在场、设备刚借给别人用过之后。建议把登录和资金操作两级分开。
问：开云登录 换手机后生物识别要重设吗？
要。它是设备本地的，不会跟着账号走。另外旧设备要先正常退出登录再卸载。
理性对待，量力而行。生物识别解决的是输入安全和便利，账号是否安全仍取决于下面那几层。