人脸识别功能的4个坑，小团队上线前先看这条边界

人脸识别功能上线前，我一般只问一句：照片能不能刷过。有个做门禁的客户，上线两周就被员工用手机里的一张照片刷开了，回头整改赔了3万多。

这篇不讲算法，只把上线前必须当场验的4个坑摆出来，每个坑配一条你能立刻测的动作。

人脸识别功能怎么用，先看活体检测这一关

活体检测分好几档：眨眼转头算一档，读随机数字算一档，近红外加双目算一档，成本从低到高排。很多报价便宜的产品只做人脸比对，不带活体检测，演示时看着一样快，实际防护差得远。

只做人脸比对的版本，拿一张高清打印照片就能刷开，别等出事才发现自己买的是基础版。

当场测法很简单：准备一张本人的高清打印照、一张手机翻拍的屏幕照，各刷3次。能过第1次的，说明活体检测基本没开；3次都过不去的，才算过关。光线条件也要一起试，背光和大晴天各测一遍。

这里补一句，同一主题我在另一篇里拆得更细，视频会议产品那篇可以一并看。

两个数要分开看。误识率是认错人，把A认成B，门禁场景必须压得很低，行业里常见的要求是万分之一以内；拒识率是自己人刷不过去，定得太严，员工每天都要找管理员开一次门，用不了两周就会有人骂。

我的做法是分场景定：门禁、考勤这类涉及通行和薪资的，误识率按万分之一要求；只是用来做内部签到、会议室签到的，放开到千分之一也够用。这两个数写进验收单，后面验收就有依据。

多说一句，同一主题我在另一篇里拆得更细，竞调那篇可以一并看。

最容易出事的是照片底库。底库存什么、存多久、谁能导出，这三件事必须在上线前定下来。稳妥的做法是只存特征值不存照片原件，因为原件一旦泄露就没法撤回，特征值至少还能重新采集。

数据留存期限也要写清。员工离职后底库多久删除，一般约定在离职后30天内清理；涉及考勤的，按用工管理需要留存，但不宜无限期挂着。

把照片底库当成普通会员数据来管，是这类项目最常见的合规风险。

还有一个位置容易被漏掉：备用通道。人脸识别功能一旦碰上设备故障，没有备用方案的门禁会把所有人挡在门外。我在方案里一般会保留一张实体卡或者一组临时密码，平时不用，故障时能顶上来。

设备本身也要问清维护条款。摄像头是自带存储还是走云、断网了能不能离线比对、算法多久更新一次，这三条写进合同，后面出了故障才知道找谁。断网不能离线比对的产品，一旦网络抖动，所有人就得在门口排队。

最后留一份记录。每次采集和删除都留一条日志，写清时间、操作人和原因，这套记录在出现争议时是最有用的凭据。

一是活体检测实测，用打印照和翻拍照各试3次；二是误识率与拒识率的口径写进验收单；三是照片底库的存储方式、数据留存期限、导出权限三项落成文档；四是告知与隐私授权的流程走一遍，看现场有没有张贴采集说明。

这4项里，第4项最容易被跳过。有客户装完摄像头才发现，采集区域没贴任何说明，被员工投诉到人力部门。补一张说明只花10分钟，省下的是一整轮沟通。

人脸识别功能本身不难接，难的是把边界提前想清楚。你可以先把活体检测、误识率、照片底库、告知这4项列成一页表，逐项打勾再签验收。

验收单上没写的项，出问题时基本只能自己扛。

建议你把这4项做成检查清单，交给项目负责人逐条签字，别用口头确认。

数据这块也有明文要求。依照《中华人民共和国个人信息保护法》第二十九条，处理人脸这类敏感个人信息应当取得单独同意；按 GB/T 41819—2022 的要求，采集、存储、删除三个环节都要留痕，事前做比事后补省力得多。

[1] 丹尼尔·卡尼曼.思考,快与慢[M].胡晓姣,李爱民,何梦莹,译.北京:中信出版社,2012.

[2] 中国互联网络信息中心.第54次中国互联网络发展状况统计报告[R].北京:中国互联网络信息中心,2024.

[3] 国家标准化管理委员会.信息安全技术生物特征识别信息保护基本要求:GB/T 40660—2021[S].北京:中国标准出版社,2021.