设备凭证解锁 - PIN/图案/密码作为辅助
工作原理
设备凭证解锁利用的是你手机上已经设置好的锁屏凭证——PIN、图案、或系统密码。它的内部流程和生物识别类似：
- 第一次输入主密码解锁数据库
- KeePassDX 用 Android Keystore 加密保存主密码
- 之后解锁时，系统先要求你输入设备锁屏凭证（PIN/图案/密码）
- 凭证验证通过后，Android Keystore 解密主密码
- KeePassDX 用解密后的主密码解锁数据库
启用步骤
- 解锁数据库，进入设置 → 解锁设置 → 设备解锁
- 开启"设备凭证解锁"开关
- 输入主密码确认
设备凭证 vs 生物识别 vs 主密码
| 解锁方式 | 是否需要输入主密码 | 验证链路 | 适用场景 |
|---|---|---|---|
| 主密码 | 每次都输入 | 直接 Argon2d 派生 | 最安全，无依赖 |
| 生物识别 | 仅首次 | 生物特征 → Keystore → 解密主密码 | 日常快速解锁 |
| 设备凭证 | 仅首次 | PIN/图案 → Keystore → 解密主密码 | 设备不支持生物识别时的替代 |
| 硬件密钥 | 视情况 | 硬件运算 | 最高安全等级 |
生物识别和设备凭证都是"主密码缓存 + 系统级验证"的模式。它们都不替代主密码——只是帮你省掉每次手动输入的麻烦。
为什么设备凭证比主密码更方便
- 大多数人解锁手机时就已经输入了 PIN 或图案
- 现在打开 KeePassDX 时，系统可以复用刚才的凭证验证，不用再输一次
- 在 Android 系统级的凭据缓存机制下，有时甚至能直接跳过验证（取决于系统设置）
安全考量
使用设备凭证解锁时需要注意：
- 设备锁屏必须足够强：如果你用 4 位简单 PIN（1234），那相当于你的数据库主密码也被降级到了这个强度
- 手机丢了怎么办：捡到者先尝试猜测锁屏 PIN，猜对了就能打开 KeePassDX
- 这就是为什么生物识别更推荐：指纹/面容比 PIN 更难被猜测或强行绕过
如果你担心这个安全边界，可以只用生物识别解锁，不用设备凭证解锁。