使用 Credential Manager 通过验证电子邮件简化用户历程

3 分钟阅读时间

2026 年 4 月 22 日

“当前时代”的身份验证是在安全性和便利性之间进行权衡。为了确保用户拥有其提供的电子邮件地址，您通常依赖于通过电子邮件或短信发送的一次性密码 (OTP) 或“魔法链接”。

虽然这些传统步骤有效，但会带来重大障碍：

Google 现在直接向 Android 设备发布经过加密验证的电子邮件凭据。此验证电子邮件凭据通过 Credential Manager API 递送，该 API 是 Android 对 W3C 的 Digital Credential API 标准的实现。

对于用户而言，这完全消除了通过外部渠道手动验证电子邮件的需求。对于开发者而言，无论您是构建账号创建流程、恢复流程还是高风险的升级身份验证，该 API 都能安全地递送这些经过验证的用户声明。

虽然此特定验证电子邮件地址安全地来源于用户设备上的 Google 账号，但底层 Digital Credentials API 与发布方无关。这有助于构建开放的生态系统，允许任何持有包含电子邮件声明的数字凭据的人向您的应用提供该验证。

此 API 的美妙之处在于它对最终用户来说非常简单。用户无需寻找 OTP 验证码，体验直接集成到 Android 操作系统中：

启动：当用户将焦点放在电子邮件输入字段上或点按“注册”或“恢复账号”按钮时，该流程开始。您还可以在网页加载时启动该流程。
透明度：系统会显示原生 Android 底部动作条，清楚详细地说明所请求的数据（例如，用户的验证电子邮件地址）。
一键同意：用户只需点按“同意并继续”即可共享数据。
即时进度：获得同意后，应用会立即收到数据。对于注册或账号恢复流程，您可以无缝地将用户转入通行密钥创建流程，确保：
1. 与传统的用户名/密码注册相比，用户无需手动输入任何用户信息。
2. 用户下次登录时会更快、更安全。

当用户点按“注册”时，系统会立即提取验证电子邮件，从而加快入职流程。我们强烈建议您将验证电子邮件检索与通行密钥创建配对，这也是 Credential Manager API 的一部分：

注意：您还可以提取其他未验证的字段，例如用户的名字、姓氏、姓名、个人资料照片以及与验证电子邮件关联的托管域名。

让用户能够使用安全存储在其设备上的验证电子邮件恢复账号，从而消除用户在垃圾邮件文件夹中寻找恢复验证码的挫败感：

通过要求用户执行快速重新验证步骤，保护敏感的用户操作，例如更改设置或更新个人资料详细信息。您可以使用设备的验证电子邮件提供低摩擦的验证，而不是使用 OTP：

在围绕 Digital Credentials API 设计身份验证架构时，请注意以下详细信息：

账号支持：对于 Google 发布的特定电子邮件凭据，仅支持常规个人 Google 账号（目前不支持 Workspace 账号和受监督的账号）。请注意，Credential Manager API 本身与发布方无关，这意味着其他身份提供方可以根据自己的账号支持政策发布凭据。
其他用户数据：除了电子邮件之外，您还可以请求用户的名字、姓氏、全名和个人资料照片。不过，请注意，只有电子邮件经过 Google 验证。
自动验证您的 @gmail 账号：该 API 为所有个人 Google 账号提供验证电子邮件。我们建议您自动验证 @gmail.com 用户，并将自定义网域路由到您现有的验证流程（例如 OTP 流程）。这可确保您长期访问非 Google 直接管理的外部网域。
与“使用 Google 账号登录”互补：虽然新的验证电子邮件凭据和“使用 Google 账号登录”API 都提供验证电子邮件，但选择取决于预期用户体验：
- 当用户想要创建联合登录会话时，使用“使用 Google 账号登录” 。
- 当用户想要使用用户名/密码或通行密钥以传统方式登录，但想要自动验证电子邮件地址而无需手动执行 OTP 操作时，使用验证电子邮件 。

通过集成新的 Credential Manager API 验证电子邮件，您可以大幅减少入职摩擦，并为用户提供更顺畅、更安全的身份验证历程。这标志着我们正在向未来迈进，届时“验证”将不再是用户的手动操作，而是原生移动体验的无缝集成部分。

准备好了解此功能如何融入您自己的应用了吗？如需开始使用，请将您的项目更新到最新的 Credential Manager API，并参阅我们的集成指南。我们建议您探索这种简化的验证方式如何简化关键用户历程，从优化账号创建到增强重新验证流程。

作者：

继续阅读