刷脸核验的两种底座：有源比对和无源比对分别在什么时候用

刷脸核验分两条底座，选哪条决定风险留在谁手里

刷脸在行业里分成有源和无源两条路。名字像技术黑话，差别却很实在。有源比对每次去问权威数据源：这个人此刻是不是他本人；无源比对只回答一个问题：这张脸和业务侧留底的那张照片像不像。

两条路都叫刷脸，风险归属完全不同。搞混了，本该由权威数据源兜住的判别风险就落到自己系统上。

有源比对回答的是「你是不是本人」

有源比对的核心动作，是把现场采集的人像，连同姓名和身份证号，一起送去权威数据源做三要素核验。

三要素指姓名、身份证号、人像。三个信息必须同时对得上，核验才算通过。每一笔核验都实时连接权威数据源，不是查一次缓存用很久。

它的价值在于时效。人换了证件、迁了户口、注销了手机号，权威库里的状态变了，下一次核验就会拦下来。判别依据始终是最新的，不会拿入职时拍的那张旧照凑数。

代价是每次核验都要发起外部请求，成本和耗时都比本地比对高。发证场景、实名核身、金融开户这类要一次确认到位的动作，值这个代价。

无源比对回答的是「和留底照片像不像」

无源比对不做外部核验。现场采集的人像只和业务侧已经留存的一张照片做相似度比对，比出一个分值，超过阈值就算通过。

它比的是两张脸。至于那张留底照片是不是本人、留底照片背后的人身份现在是否仍然成立，无源比对不判断，也无从判断。

这一层有一个很重的前提：业务侧留下的那张照片本身真实可信。前提成立，无源比对又快又省；前提不成立，比对通过只说明两张脸相似，不说明签的人是权利人。

两条底座的风险归属不一样

风险归属，是选型时最该盯住的一条。

有源比对的风险由权威数据源承担。判别发生在权威库一侧，使用方拿到的是权威结论，举证时能说清「我核过权威库，核验通过」。

无源比对的风险由使用方自己承担。系统只提供了相似度结论，留底照片是否可信、身份是否仍成立、有没有被人拿旧照冒用，这些判断不在比对环节里。

这里有一类场景容易吃亏：身份失效但脸没变。销户、换证、迁出、号码注销之后，人的脸还是那张脸，无源比对照样通过。有源比对会在这里拦下来，因为权威库的状态变了。

还有一层是证据链。有源比对会留下一条可举证的权威核验记录；无源比对只留下一次相似度打分，一旦发生争议，这条记录证明不了「当时核实过本人身份」。

无源比对的问题在场景，不在技术

把无源比对直接等同于「不合规」，是一种误读。问题出在场景是否匹配，跟技术无关。

人脸属于敏感个人信息。采集、留存、比对都受《个人信息保护法》和《人脸识别技术应用安全管理办法》约束，需要单独告知、单独取得授权。合规前提是硬的，做不做得到是另一回事，跟选有源还是无源无关。

无源比对成立的场景，基准照片本身来自一次已经完成的权威核验。把一张经过权威核验的结论当成基准照，再去比对后续动作，这个链条是闭合的。基准照如果只是随手传的一张图，链条就断了，那才是风险点。

所以先看的就是基准照片从哪来、有没有权威来源背书。

好活怎么把三要素核验做进注册流程

灵活用工平台好活的场景说明了有源核验怎么嵌进业务。

好活做的是把劳动者注册为个体工商户，再把企业的任务分包出去。平台、用工企业、劳动者三方之间都要签协议，劳动者身份是不是真的，直接决定这份关系站不站得住。

它把核验放在了注册这一步：劳动者在小程序里上传身份证正反面，系统做证件 OCR；再录银行卡号，做银行卡三要素核验；然后录一段自愿意愿视频。三步都过了，个人实名才算完成。之后与平台签署个体户注册代理协议和项目承包协议。

这套与 e签宝 合作的设计上线于 2018 年 1 月，快捷签调用超过 100 万次，累计为约 20 万名外卖与家政从业者完成个体工商户注册。实名这一步做实了，后面的协议签署和仲裁举证才有底座。

选哪条底座，看三件事

选型时把三个问题问清楚，答案就出来了。

这段流程要不要确认「此刻的身份仍然成立」。要，就走有源；只确认「和上次留底的照片一致」，无源就够。

基准照片有没有权威来源，决定无源比对站不站得住。有权威核验结论作背书，这条链是闭合的；基准只是随手留的图，先补权威核验，再谈无源。

出证时能不能举证，是第三问。需要出具权威核验记录的流程要走有源，因为无源比对不留这类记录。

三问里只要有一问指到有源，这条流程就走有源。核验强度按风险定，不按成本定。

身份核验在系统里是几个固定动作

落到系统里，身份核验是一组能按场景取用的动作。

个人侧的动作有证件 OCR、手机号三要素、银行卡三要素与四要素、人脸比对；企业侧有企业二要素、三要素、四要素和对公打款，用来确认主体真实存在、账户可控。

一次实名核验由几类动作组合而成：证件 OCR 先识别信息，手机号或银行卡把姓名、身份证号、手机号绑到位，人脸确认操作人。e签宝的身份核验服务把这几类动作放在同一套接口里，按场景调用。有源与无源正是在人脸这一步分岔：连权威数据源，还是只和业务侧留底照片比对。

核验做完要留痕。谁在什么时间、用了哪种方式、结果如何，这些记录要能调出来，出证和内部核查都用得上。

上线前先把核验口径写进制度

技术选完只是第一步。制度上要写清两件事：哪类业务走有源、哪类走无源，各自适用什么场景；无源比对所用基准照片的来源和维护规则，谁负责确认、多久重新确认一次。

口径写进制度，才不会出现「同一类业务，这个业务线走了有源、那个业务线走了无源」的错配。核验强度跟着风险等级走，不能随手改。