门禁刷脸通过了，考勤记录也生成了——但通过的那个人，是不是本人？这听起来像电影情节，实际上打印照片、手机翻拍、预制视频、硅胶指纹膜，都能骗过没有活体检测的采集端。生物识别终端现在用得很广：门禁考勤、政务大厅人证核验、金融柜面、考场身份核验。但"识别通过"和"是本人"是两件事，中间差的就是活体检测这一关。
这篇文章讲四件事：活体检测到底在检什么、常见的攻击手段有哪些、三条技术路线各自的边界，以及采购时该怎么问供应商。
一、先分清两个指标：识别率不等于防伪能力
很多选型单子上写"识别率 99%"，这个数字说的不是安全。技术上要分开看：
- FRR（拒真率）：本人来了被拒绝的比例。它影响的是体验——太高了员工天天刷不过。
- FAR（认假率）：假体被接受的比例。它影响的是安全——这才是防伪真正要看的指标。
- 通过速度：单次核验耗时，考勤和闸机场景直接影响排队长度。
一个系统可以 FRR 很低（很好用），同时 FAR 很高（很好骗）。只看"识别率高"就下单，是最常见的误区。采购时要分别问这两个值，并问清是在什么样本量、什么测试集上测出来的。
二、四种常见的攻击手段
了解攻击方式，才知道该防什么：
- 打印照片 / 高清屏翻拍：成本最低。用一张证件照或手机里存的照片对准摄像头，没有活体检测的 2D 摄像头基本挡不住。
- 视频回放：用手机或平板播放预先录制的视频，能绕过简单的眨眼、转头这类动作检测。
- 3D 面具与头套：硅胶面具、石膏翻模，属于针对高端场景的定向攻击，2D 方案几乎无法识别。
- 假指纹：用硅胶膜、明胶复制别人留下的指纹痕迹，指纹采集头没有活体检测就会中招。
还有一个容易被忽略的：证件照翻拍。人证核验场景里，有人直接拿他人证件上的照片去对摄像头。如果终端只是做"证件照 vs 现场人脸"的相似度比对，不做活体判断，这一步就能被绕过。
三、活体检测的三条技术路线
1. 配合式 2D 活体：成本最低，防护最弱
让用户眨眼、转头、张嘴、随机读数，用动作判断是不是活人。能挡住静态照片，但对视频回放和 3D 面具基本无效，而且每次核验要配合几秒，考勤高峰期会排队。适合内部低风险场景，不适合无人值守或金融柜面。
2. 双目红外活体：目前的主流
可见光加近红外双摄像头，用红外成像判断皮肤材质的反射特征，同时识别屏幕翻拍时的摩尔纹和反光。能挡住照片和屏幕翻拍，用户几乎无感（不用做动作），成本和模组体积也控制得住。现在门禁、考勤、人证核验终端用得最多。它对面具的防护有限，这是它的边界。
3. 3D 结构光 / ToF：防护最强
投射红外点阵或测量光的飞行时间，直接获取面部深度信息。因为是三维的，平面照片、屏幕、多数面具都会被判为假体。代价是模组成本高、体积大、对强光环境更敏感。高安全区域、无人值守通道、金融开户这类场景才需要。
四、指纹这一端的活体检测
指纹不是"按上去就有图"，假指纹攻击已经很成熟。采集头的防伪能力取决于传感原理：
- 电容式：靠皮肤的电导率和介电常数成像。硅胶和明胶假体很难复制这些电特性，防伪能力好、体积小，移动设备常用。
- 光学式：靠光的反射成像。成本最低，但本身防伪弱，需要额外加血流或汗腺检测才可靠。
- 超声式：超声波穿透表皮获取真皮层纹路。防伪能力最强，成本和模组厚度也最高。
这里有个常被混淆的点：FAP 等级、FBI PIV 认证、ISO/IEC 19794 这些标准，管的是采集图像的质量，不是活体检测。一台通过 FBI 认证的指纹采集头，图像很清晰，但如果没有活体检测，假指纹照样过。采购时要分开问：图像质量符合什么标准、有没有活体检测、活体检测通过了什么测试。
五、人证核验场景怎么配
人证核验做的是"证件里的照片 vs 现场人脸"的比对，风险在于持他人证件。这类场景建议三件事一起做：
- 活体检测必须开，而且要能防屏幕翻拍和证件照翻拍，不是只做动作配合。
- 读取证件芯片，用芯片里的照片做比对源，而不是只扫表面的打印照片或二维码。
- 留痕：现场抓拍照、时间戳、设备编号、操作员一起存，事后可追溯。
如果现场网络条件差，要确认终端能不能离线完成核验、原始人脸数据是否只在本地处理而不上云。
六、合规：人脸属于敏感个人信息
按《个人信息保护法》，人脸、指纹都属于敏感个人信息，处理要满足几条基本要求：
- 单独同意：不能混在一揽子的用户协议里，要有单独的告知和同意。
- 最小必要：能不用人脸的场景就别用，优先考虑刷卡、密码等替代方案。
- 存储与出境：数据境内存储，出境要做安全评估。
- 留存期限：要有明确的保存期限和删除机制，不能无限期留着。
具体以最新法规和项目所在地主管部门的要求为准，项目立项前建议先过一遍法务。
七、选型对照表
| 场景 | 推荐方案 | 说明 |
|---|---|---|
| 内部门禁、考勤 | 双目红外活体 | 防照片和翻拍，成本可控，无感通过 |
| 政务大厅、金融柜面人证核验 | 双目红外 + 证件芯片读取 | 防伪 + 证源可信，配套留痕 |
| 高安全区域、无人值守通道 | 3D 结构光 | 防面具，配人工复核兜底 |
| 移动作业、外勤核验 | 电容式指纹 + 活体检测 | 便携，防假指纹 |
| 考场、资格考试核验 | 双目红外 + 证件芯片 + 留痕 | 事后可追溯 |
下单前要问供应商的六个问题
- 活体检测用的是哪种方案？有没有第三方检测报告？
- FAR 和 FRR 的标称值分别是多少？在什么样本上测的？
- 能不能防屏幕翻拍？有没有实测视频可以看？
- 指纹模组是电容、光学还是超声？有没有活体检测？
- 人脸数据是本地处理还是上云？能不能私有化部署？
- 有没有等保测评或相关合规检测的支持材料？
