设计安全、可扩展的人脸验证系统

作者 ｜ Praveen Kumar Gopalakrishnan

译者 ｜ 平川

为黑客马拉松构建人脸验证系统是一种充满乐趣的周末体验；而为关键任务型企业环境构建这样的系统则是一次令人谦卑的经历。

我清楚地记得，我们那个完美的原型系统崩溃的瞬间。我们花了数周时间对 API 调用做微调，将置信度分数提升到 90% 以上，并打磨出了一个简洁流畅的用户界面。但在上线当天上午 9 点，当三千名员工同时尝试打卡上班时，系统不仅变慢了，甚至彻底崩溃了。超时错误接踵而至，队列严重拥堵，日志里满是关于速率限制的警告。

我们犯了一个典型的错误。我们将人脸验证当成了一个简单的功能需求，仅仅是一个需要调用的 API 端点，而不是一项复杂的分布式架构挑战。

即使是像 Azure Face API 或 AWS Rekognition 这样强大的服务，在孤立的演示环境中有出色的表现，但在高负载的情况下，网络延迟、并发问题以及数据质量问题（例如光线不足、网络摄像头画面模糊或拍摄角度异常）会迅速累积。如果你正在开发身份验证、安全访问控制或考勤系统，那么你不仅仅是在构建一个功能，而是在构建一个决策引擎。

本文分享了一次影响很大的部署带给我们的经验教训以及由此衍生出的设计模式。我们将简单的同步模型换成了稳健的分层架构。该架构能够处理来自银行、医疗保健等不同领域每分钟数千次的请求。例如，在上午 8:45 至 9:15 的“惊群窗口（thundering herd window）”时段，我们会持续处理每分钟 8500 次的峰值请求。

下文将详细地介绍：即使在云服务商因高并发而延迟骤升的情况下，我们的异步架构仍然能够结合本地的边缘智能和异步流量管理，将端到端验证结果的 p99 延迟维持在 1.8 秒以内。

并发悬崖的现实

当我们开始针对高并发场景做系统规划时，运营现实给了我们当头一棒。这绝不仅仅是将一张 JPEG 图片发送给云服务商并获取 JSON 响应那么简单。这些挑战是结构层面的，而标准文档往往忽略了这一点——因为它们默认每次只有单个用户使用。

同步请求的终结

同步 API 调用是可扩展性的大敌。当 500 名用户同时尝试验证时，和外部供应商建立 500 个 HTTP 连接必然会导致应用程序线程阻塞。如果供应商在高负载下存在 2 秒钟的延迟，那么整个前端层将迅速耗光其连接池。我们需要一种方法，将验证请求与验证处理解耦。

现实世界中的输入问题

在实验室环境中，我们使用的是高清人像照片。但在实际应用中，用户可能以奇怪的角度握着手机，身后有窗户（形成剪影），或者镜头上有污渍。如果没有一个专门的架构层在数据进入昂贵的 AI 模型之前对其进行清理，我们的成功率会急剧下降。云服务提供商返回的每一个“未能检测到面部”错误，都会带来金钱损失并造成延迟。

隐私雷区

如果密码泄露了，可以重置；但如果面部几何图泄露了，用户是无法改变自己的容貌的。在银行、医疗保健等行业，这不仅仅是一个漏洞，更是一场法律灾难。我们需要的安全措施必须超越简单的 TLS；我们需要将即时令牌化以及严格的数据保留策略嵌入到核心逻辑中。

准确性与运行时间

如何判断系统是否发生了静默故障？在标准 CRUD 应用中，500 错误是显而易见的故障。而在人脸验证中，即使返回了 200 OK 状态码，但如果出现了误判（允许错误的人进入）也堪称灾难。我们需要的可观测性不仅是要追踪运行时间，更要监控准确率和置信度分布。

面向高吞吐量生物识别的参考架构

为了解决这些问题，我们没有再寻找现成的工具，而是开始设计一条处理管道。最终形成的架构与具体工具无关。无论你使用 Azure、AWS 还是自定义模型，其结构需求始终都是一样的。

第 1 层：客户端捕获层（边缘智能）

这是第一道防线。在设备端直接筛除劣质图像是最明智的做法。通过部署轻量级的客户端库来检测头部姿态（用户是否正视摄像头？）、亮度和模糊程度，我们就能在无效数据接入网络前就完成过滤。为了让这些架构设计贴合实际场景，相关数据均来自某家拥有 15 万活跃用户的企业级大规模员工身份核验系统。这种“快速失败”策略为我们节省了近 30% 非必要的云端处理成本。该指标是以一个月中未经过滤的上传数据为基准，与随后一个月中采用客户端验证的数据进行对比得出的。通过在设备端筛除 210 万张无效帧（特别是模糊图像、光线不足画面或未检测到人脸的帧），我们避免了由无效数据引发的云端推理费用。

第 2 层：预处理网关

图像到达服务器后，便进入标准化阶段。我们将所有输入统一标准化为特定的分辨率（例如 1080p），将尺寸较大的 PNG 文件转换为优化后的 JPEG 文件，并纠正了 EXIF 旋转问题。对于面向全球用户的系统而言，处理来自不同移动操作系统版本的方位元数据是影响准确性的“隐形杀手”。

第 3 层：解耦服务（检测与验证）

检测和验证被拆分为独立的微服务。这种解耦使得两项服务能够独立扩展，下文将对此进行更详细的说明。

第 4 层：决策引擎

API 会返回一个置信度分数（例如 0.92）。决策引擎会根据业务场景来判定该数值的具体含义。登录可能只需要 0.8 的置信度，但授权高价值交易则需要 0.95 以上的置信度，并配合多因素身份认证。

架构图

以下是人脸验证的端到端系统架构：

图 1. 人脸验证系统的架构（图片来源：作者自制）

为了获得最佳性能，客户端设备在捕获图像后会对它们进行尺寸调整、压缩和归一化等预处理，并在随后以异步方式发送至人脸检测服务，以确保处理过程的可扩展性和非阻塞性。检测到的人脸会直接流入验证服务，后者集成了可观测性功能（包括指标监控、日志记录和实时警报）；在这个过程中，决策引擎应用自定义阈值和规则，而审计与合规层则安全地存储结果并维护可追溯的日志。

实施：应对受管访问

当前，架构师面临的一个关键障碍是，Azure Face API 等服务已经不再开放访问。根据“负责任的人工智能”（RAI）计划，访问身份识别和验证功能需要经过正式的申请流程。

申请流程

目前，面部验证功能实施了访问策略限制。用户必须提交正式申请，详细说明其具体用例、数据保留政策以及承诺遵守负责任的人工智能标准。

入驻时间表

根据 2026 年处理该流程的最新经验，审核周期通常为三到五周。

架构缓解措施

为防止在此期间开发工作受阻，你必须从项目伊始就在架构中构建模拟的提供商接口。这样，在等待供应商最终批准的时间里，你的团队就可以对分布式管道、队列和逻辑进行测试。

技术深度解析：API 编排

让我们以 Azure Face API 为引擎，看看这种方法实际上是如何运作的。

第一阶段：检测 API

此时，我们还不会问“这是谁？”，而是先判断图像是否有效。

REST API 定义：

}

响应返回一个 faceId。关键在于，该 ID 是临时的（通常会在 24 小时后过期）。这种方法符合我们的隐私要求；在默认情况下，生物特征标识只是短暂存在。要了解最新的识别和检测模型版本，请参阅 Azure 官方文档。

第二阶段：Verify API

一旦获得了实时 faceId 和存储的个人资料 faceId，我们便进行比对。

}

生产环境就绪的实现

在实际部署中，我们会封装这些调用来匹配实际的应用场景。以下这个 Python 代码片段展示了一个简化的 worker 节点，位于队列（如 RabbitMQ 或 Kafka）之后。

return False

架构分离：检测与验证

我们学到的最有价值的经验之一是，检测和验证是本质截然不同的计算任务。

检测是 CPU/GPU 密集型且属于无状态操作

它分析一组像素，设法从中找出某种模式。它并不关心这个人是谁，而只关心那是不是一个人。在人员密集的场景下，你每进行一次验证，可能就需要运行十次这样的检测。

验证是 I/O 密集型且属于有状态操作

验证需要检索存储的模板（可能以加密形式存储在数据库中）并进行向量比对。

在我们的高负载部署中，我们发现验证环节的瓶颈正在拖慢检测速度。如果数据库响应缓慢，摄像头视频流就会出现卡顿。通过将它们拆分到两个不同的队列中，我们实现了各自独立的扩缩容。在流量洪峰出现时，检测服务从 4 个实例水平扩展到了 8 个，而验证服务则稳定地保持在 2 个实例。

在特定场景下，人群从摄像头前经过。检测层会快速触发，过滤掉非人脸、模糊人脸或侧脸画面。它通过水平扩展来处理视频流。而验证层则只会收到从这波流量里筛选出的质量最佳的单张图像。由于检测层起到了过滤作用，所以验证层无需进行如此大幅度的扩展。

这种分离提供了明确的安全边界。检测服务处理原始图像；验证服务则仅处理数学向量和临时的 faceId 字符串。

安全与隐私：构建零信任体系

在《通用数据保护条例》（GDPR）、《加州消费者隐私法案》（CCPA）和《健康保险流通与责任法案》（HIPAA）日益严格的时代，绝不能将人脸数据视为普通的 JPEG 图像。为了降低风险，我们秉持零信任理念。

个人身份信息（PII）处理与令牌化

我们绝不会在传输图像时一并传递原始的用户 ID。我们使用短效关联令牌。图像将上传至一个安全的大对象存储（blob storage），其生存时间（TTL）为十五分钟。API 仅接收一个临时 URL。一旦 15 分钟到期，数据便会被从存储层中物理清除。

全面加密

• 传输过程中，我们的部署强制使用 TLS 1.3；对于遗留环境，TLS 1.2 是最低要求。

• 静止状态下，存储的注册模板使用客户管理密钥（CMK）进行加密。

• 我们使用向量哈希算法，存储与标识符关联的加盐哈希值。我们并非仅存储人脸向量。

最简审计日志

每次验证尝试均构成法律事件。我们会记录以下信息：

• 时间戳

• 结果（匹配 / 不匹配）

• 置信度评分

• 延迟

我们绝不会记录验证尝试失败的原始图像（除非安全取证明确要求），以便最大限度地减少有害数据的保留。

负责任的人工智能的缺口：
以同意与合规为核心的架构设计

到 2026 年，高级架构师必须将算法偏见与用户知情同意视为技术约束，而非法律免责声明。

知情同意作为架构门槛

知情同意是一项通过加密技术绑定的先决条件。如果系统无法证明已经获得了用户的有效同意，那么在架构层面，图像处理管道将无法初始化。

• 同意握手机制

在摄像头启动之前，客户端必须获取针对特定司法管辖区的同意清单。用户界面会显示所需的条款和条件，用户操作将生成一个与特定会话和目的绑定的、经过签名的同意令牌。

• 管道门禁

预处理网关充当硬门禁。用户若未给予同意，则无法继续提交配置请求。作为第 2 层的组成部分，预处理引擎随后会验证同意令牌的签名和时间戳。如果令牌缺失或已过期，那么在进行任何生物识别处理之前，请求将立即被丢弃。

• 可审计的追踪记录

每笔交易都与一个同意账本相关联，该账本存储令牌哈希值和版本 ID。这种方法会创建一条不可篡改的追踪记录，能够精确地证明用户在任何给定的验证尝试中同意了什么。

终端状态清除

生物识别数据是一种有毒资产。持有时间越长，风险责任越大。

一旦验证达到最终状态（例如匹配、未匹配或错误），系统将自动销毁数据。它会立即清除临时采集存储桶中的原始图像。我们使用了有效期为二十四小时的短效标识符（即临时性 faceId 字符串）。唯一的长期记录是标识符与事务处理结果（匹配或不匹配）的加盐哈希值，而绝不会保留生物特征几何数据本身。

管辖权与监管合规意识

为了达到全球性的规模而进行系统架构设计时，需要根据用户的司法管辖区（例如《伊利诺伊州生物识别信息隐私法案》（BIPA）或《欧盟人工智能法案》）来调整系统的技术行为。各项法规的适用日期各不相同。请核实相关管辖区域内当前的执法状况。

• 区域政策路由

网关利用 GeoIP 和用户元数据，将生物识别流量路由至主权云节点。这种路由机制可以确保特定区域的原始向量绝不越出其法律边界，从而达到保障数据驻留的目的。

• 特征过滤

该架构会根据当地法律法规动态调整 API 调用。在某些司法管辖区，如果工作场所对特定生物特征属性有限制，那么网关会自动从请求负载中过滤掉这些标记，从而确保技术合规性。

• 动态保留策略与紧急关闭开关

保留策略会根据不同的地区进行调整，在监管严格的司法管辖区会触发立即清除。如果当地颁布了暂停令，那么司法管辖区的紧急关闭开关可以远程禁用特定地点的生物特征识别层。

偏见的可审计性：为公平而设计

在高负载的生物识别系统中，偏见不仅是一个伦理问题，更是一种运营风险，可能导致特定用户群体遭受系统性的服务拒绝。我们通过构建“影子元数据管道”来应对这一风险，该管道支持持续的、基于证据的校准。

在不侵犯隐私的前提下，我们利用审计库来度量偏见，并将验证结果与人口统计数据解耦。当进行验证时，系统会剥离个人身份信息（PII），并将设备类型、环境光照水平以及（在法律允许的情况下）广泛的人口统计标记等匿名化元数据发送至一个隔离的审计库。

回顾性热力图将审计库与交易日志进行对比。架构师可以据此判断特定群体是否存在不正常的误拒率（FRR）。例如，如果肤色较深的用户或处于低光环境的用户，其置信度评分始终低 15%，这就表明存在环境因素或模型漂移问题，需要调整阈值。

为防止模型偏差演变为难以逾越的鸿沟，我们采用了扩展审核路径（人机协同），并实施了“应急区域”逻辑。如果验证分数低于安全阈值但高于“可能匹配”的下限，系统将触发扩展审核。在架构处理方面，系统不会直接进行二元拒绝，而是将事务路由至高摩擦、高保障的备用方案，例如 FIDO2 通行密钥验证或供安全人员处理的短效手动覆盖队列。运营层面的核心目标是防止用户因光线、表型差异或硬件限制而被锁在门外。通过监控哪些人口统计群体被不成比例地路由到该扩展审核路径，架构师可以获得实时且可操作的数据，从而了解模型在哪些方面未能公平地发挥作用。

准确率的数学原理：阈值管理

一个常见的误解是，API 会给出“是”或“否”的明确答案。其实并非如此。它给出的是一项概率。设定阈值是一个商业决策，而非技术决策。这是在假接受率（FAR）与假拒绝率（FRR）之间做出的权衡。阈值设置得比较低（例如 0.5）会非常方便。用户几乎不会被拒绝。然而，系统可能会将用户的兄弟姐妹或一张质量较高的照片误认为该用户。另一方面，阈值设置得比较高（例如 0.95）则安全性极高。但如果合法用户刚剪了新发型或站在阴影中，就可能会被拒绝。在我们的高负载系统中，我们实现了基于风险的动态阈值控制。低风险场景（例如：打卡下班去吃午饭）的阈值为 0.75；高风险场景（例如：授权访问医疗记录）的阈值为 0.92 + 多因素身份认证（MFA）。

应对“狂奔牛群”的可扩展性模式

当上午 9 点一到，大家纷纷抵达办公室时，流量不是逐渐增加，而是呈爆炸式增长。我们采用了三种具体的模式来应对这一挑战。

异步队列

我们停止在 Web 服务器线程上处理请求。API 接收图片后，将任务推入 Kafka/RabbitMQ 队列，并立即向客户端返回 202 Accepted 状态码。随后，客户端通过轮询获取结果，或等待 WebSocket 更新。这种轮询机制可以防止前端服务器在流量高峰期间出现内存耗尽的情况。

断路器

如果 Face API 开始返回 429 Too Many Requests 状态码，我们的断路器（使用 Polly 或 Tenacity 等库）就会触发。它会立即停止发送请求 30 秒，并在本地快速失败。这种方法有助于供应商的 API 恢复正常，而不是将其轰炸至瘫痪。

故障处理与降级模式策略

虽然断路器能有效地管理瞬态速率限制，但当供应商发生全面中断时，还需要一套强大的“软故障”策略，以便确保关键业务不会陷入停滞。

通过采用动态多因素身份认证（MFA）备用机制，当断路器跳闸时，系统会立即更新客户端用户界面，隐藏生物识别选项。取而代之，系统会提示用户使用其他保障级别更高的认证方式，例如 FIDO2 通行密钥或安全的基于时间的二维码。这种架构调整可以防止自助服务终端在主生物识别层离线期间发生物理锁定。

对于非实时事件（例如为审计日志记录验证信息），系统通过使用异步替换队列，将这些请求移入一个持久的辅助队列。一旦云服务提供商恢复正常状态，工作进程便会处理这些积压的事件，从而确保长期身份账本的完整性。

缓存最近验证过的用户

我们为过去十分钟内成功完成身份验证的用户实现了一个基于向量的本地缓存（Redis）。将实时向量与一个包含活跃用户的小型缓存进行比对，这比查询包含十万名用户的全局数据库要快几毫秒。缓存条目与设备和会话的组合绑定在一起。

可观测性：依靠仪表飞行

看不见的问题就无法解决。我们构建了一个定制化仪表盘，用于跟踪基于机器学习（ML）的系统关键指标：

• 通过“清洁率”，我们追踪提交的图像中有多少张通过了预处理。该指标的突然下降表明存在物理问题，例如自助服务终端附近有灯泡烧坏。

• 我们的置信度分布以直方图形式展示评分数据，如果直方图向左偏移（即评分偏低），则表明环境存在漂移。

• 我们关注 p99 延迟，但忽略平均延迟。在高负载系统中，平均值往往具有误导性。我们更关注队列末端的用户——他们正经历着最大的使用阻力（即 p99 延迟）。

经验教训：那些“陷阱”

如果我们能在项目第一天就给团队提建议，我们会这样说：

• 人脸验证是一个决策系统，而不是一次 API 调用。将其视为一项实用功能，导致了我们初期的失败。你们正在构建一个概率性系统。设计时要考虑到不确定性。

• 分层是不可妥协的。将检测（“眼睛”）与验证（“大脑”）解耦，实现独立的扩展能力。计算密集型的检测模块可以在流量高峰期间进行水平扩展，而具有状态管理的验证模块则根据数据库负载进行扩展，从而提升了性能和灵活性。

• 自定义阈值是关键所在。根据实际环境对阈值进行校准，显著降低了误拒率，在确保安全性的同时提升了用户接受度。

• 安全措施必须前置。不要试图在事后再仓促添加加密功能。令牌化和隐私控制必须在最初的架构设计图中予以考虑。

• 做好应对流量激增的准备。通过实施基于队列的负载均衡，我们的架构成功地吸收了流量突发，稳定了下游服务，并在需求高峰期间防止了系统故障。

小. 结

大规模人脸验证是一项架构方面的难题。它处于硬实时约束、概率性人工智能输出以及严格的隐私合规要求三者的交汇点上。

要想成功，必须超越“Hello World”这类入门级示例。你需要一个能够预判异常数据、通过队列从容应对流量峰值，并将安全性视为首要考虑因素的系统。本文提供的模式，正是我们用来将一个脆弱的原型转化为成熟系统的蓝图。在政府和商业领域中，该系统如今每分钟都能轻松处理数千次验证。

技术已经就绪。现在的挑战在于你围绕它构建的架构。迈向这一架构的第一步，是在构建处理管道之前，将检测与验证解耦，并先建立知情同意门。

https://www.infoq.com/articles/secure-scalable-facial-verification/

声明：本文为 InfoQ 翻译，未经许可禁止转载。