📚 课程目录第1章安全密码输入场景分析

1. 安全密码输入场景分析

在移动应用中，密码输入框是最核心的安全界面元素之一。它直接面对用户的敏感凭证，也是攻击者重点关注的目标。本章从用户需求、常见攻击面以及 Jetpack Compose 提供的基础安全机制三个维度展开分析，为后续实现一个具备生产级安全能力的密码输入框奠定场景认知基础。

用户对密码输入框的需求不仅仅是“能打字”，而是包含以下四个层次：

需求层次	具体描述	对 UI 开发的要求
基础可用性	能正常输入、删除、粘贴字符；支持中英文及符号	TextField 必须正确处理 IME 输入法交互
隐私保护	输入时默认掩码显示（●●●●），可切换明文预览	使用 PasswordVisualTransformation 与视觉切换逻辑
防窥视	减少旁人通过肩部视角或屏幕反光获取密码的风险	提供“点击一次短暂显示”模式，而非持续可见
无障碍与高安全性	系统可识别为密码域，自动阻止截屏、屏蔽第三方输入法建议	设置正确的 InputType 及 Compose 安全标志

产品设计建议： 在密码框右侧提供一个“眼睛”图标按钮，状态切换逻辑应严谨——每次切换只显示密码 2 ~ 3 秒 后自动恢复掩码，能有效平衡可用性与防偷窥需求。

密码输入框面临的威胁主要来自三个技术层面。理解这些攻击路径是构建安全 UI 的前提。

偷窥：基于视觉通道的侧信道攻击。包括 shoulder surfing（肩窥）、摄像头远程窥屏、屏幕反光等。防御手段包括掩码显示、显示内容时自动降低亮度、缩短明文停留时间。
截屏：攻击者通过系统截屏或录屏 API 获取当前界面快照。Android 原生提供 FLAG_SECURE 限制截屏，Compose 中需通过 WindowInsetsController 或系统窗口标志启用。
输入监听：包括恶意输入法（自定义键盘）、AccessibilityService 注入、日志记录攻击。核心防御是在输入框级别禁止第三方输入法的热词同步和剪贴板访问。

重要安全边界： 仅靠 UI 层的视觉处理不能完全防御输入监听攻击。密码输入框必须配合系统级别的 InputType.TYPE_TEXT_VARIATION_PASSWORD、PackageManager 输入法校验以及后端证书绑定才能构成纵深防御。

Compose 提供了声明式安全密码输入的核心 API 与机制，以下是关键组件及职责对应关系：

Compose 机制 / API	作用层级	对应攻击面
`PasswordVisualTransformation`	UI 渲染层	偷窥（掩码显示）
`VisualTransformation` 自定义	UI 渲染层	偷窥（掩码 + 最后一位可见等特殊策略）
`Window.setFlags(FLAG_SECURE)`	系统窗口层	截屏、录屏
`LocalSoftwareKeyboardController`	输入法交互层	输入监听（控制键盘生命周期）
`InputType.TYPE_TEXT_VARIATION_PASSWORD`	系统 IME 层	输入监听（阻止输入法学习与同步）
Compose `Modifier` 链	组合层	所有攻击面（统一拦截与事件过滤）

上述机制需要在实现阶段组合使用，形成“UI 掩码 → 系统窗口保护 → IME 类型锁定”三层防护基线。

上图清晰展示了三类主要攻击面（偷窥、截屏、输入监听）与 Jetpack Compose 核心安全防护机制之间的对应关系。左侧红色节点代表攻击者手段，中间箭头表示攻击通道，右侧蓝色/绿色/紫色节点分别对应不同的防御 API。理解这一对应关系是后续章节中实现组合式安全密码输入框的基础。

根据应用敏感性，可将密码输入场景划分为三个安全等级，指导开发者选择不同强度的防护策略：

  课程聚焦： 本案例将实现 L2 增强级 安全密码输入框，集成 VisualTransformation、FLAG_SECURE 以及 IME 类型控制，可作为大多数 Android 金融类应用的最小安全基线。