spc是浏览器级web api，不直接执行生物识别，而是在用户本地完成生物识别后安全封装并签名交易意图。其核心是同步触发生物验证、异步校验签名，需设备支持生物识别、https环境及兼容浏览器（chrome 109+/edge 110+/safari 17.4+），且依赖已注册的webauthn凭证。
Secure Payment Confirmation（SPC）本身不直接执行生物识别，也不处理异步支付验证的全流程。它是一个浏览器级 Web API，作用是**在用户已通过本地设备完成生物识别（如指纹、面容）后，安全封装并签名交易确认意图**，再将该密码学证据回传给商户或发卡行。所谓“基于原始生物识别的异步支付验证”，实际是“前端触发生物识别 → SPC 生成签名断言 → 后端异步校验签名有效性”的组合流程。
前提条件：设备与环境支持
必须满足以下三项，SPC 才能调用原始生物识别：
- 用户设备已启用生物识别解锁（如 iPhone Face ID、Android 设备指纹、Windows Hello），且系统级凭证已注册；
- 网站运行在 HTTPS 环境下，且域名已完成 WebAuthn 凭据注册（即用户此前已在该站点绑定过密钥）；
- 浏览器为 Chrome 109+（桌面/Android）、Edge 110+ 或 Safari 17.4+（仅 iOS/iPadOS），且未禁用 SPC 功能。
核心流程：从点击到签名断言
SPC 不负责发起生物识别，而是复用 WebAuthn 已建立的认证通道。典型步骤如下：
- 商户服务端生成交易上下文（包括 merchantId、transactionId、totalAmount、currency、payeeOrigin 等），签名后传给前端；
- 前端调用 navigator.credentials.create({ challenge, allowCredentials, timeout })，其中 challenge 是服务端签发的随机数，allowCredentials 指向用户已注册的凭证 ID；
- 浏览器自动唤起系统级生物识别 UI；用户验证成功后，设备在 TEE 或 Secure Enclave 内生成加密签名，并返回包含 authenticatorData 和 signature 的断言对象；
- 前端将断言完整提交至商户服务端（非明文传输卡号或密码），服务端使用公钥验证签名，并比对原始 challenge 与交易上下文是否一致。
为什么不是“异步验证”而是“同步触发 + 异步校验”
SPC 的生物识别环节是同步阻塞的——用户必须当场完成验证，否则断言无法生成。但整个支付链路可设计为异步：
- 前端拿到断言后，可立即跳转或关闭支付弹窗，不等待后端结果；
- 商户服务端收到断言后，在后台异步完成签名验证、风控检查、调用收单接口等操作；
- 验证失败时，通过 webhook 或轮询方式通知前端重试，而非中断用户当前操作流。
关键注意事项
SPC 不替代 3DS 或 AVS，而是补充强身份确认环节：
- 它不采集 CVV、有效期或账单地址，不能单独用于防欺诈，需与 AVS、3DS 或风控引擎配合；
- 断言中不含用户生物特征数据，只含加密证明，符合隐私设计原则；
- 若用户首次访问，尚未注册凭证，则需先走 WebAuthn 注册流程，SPC 才能复用该凭证；
- 目前 SPC 尚不支持跨设备确认（如手机扫码、手表确认），所有操作须在同一设备完成。
