刷脸支付目前是非常安全的。

从名字上看，刷脸支付好像很简单，和照张照片相似。就像使用扫码支付时需要输入支付密码一样，刷脸支付也是个验证个人身份的过程，只不过验证的对象从密码变成了面容。所谓刷脸支付，本质上依然是一种身份认证技术，目的是为了证明你的确是你所声称的那个人。

所有的身份认证技术，基本原理都是一样的。首先，先存储某些能表现你的特征的内容；然后，在每次需要验证你身份的时候，要求你提供这些内容，和之前存储的内容相对比。如果对比通过，就能证明你的身份。

无论密码还是指纹验证，使用的都是同一套逻辑。刷脸自然也不例外，只是，刷脸所面临的问题会更多、更复杂一些。

我们很容易被电影中的场景误导，以为识别人脸时会直接存储用户的照片。但是实际上，用户的照片在采集后就会被转化很多次，最终变成很长的一串数字。这串数字中就记载了用户面部的特征，当然，我们是无法从中直接看出些什么的。在认证身份时所进行的对比，也不是直接对比脸部照片，而是在经过大量运算后，对比生成的数字和以前存储的数字之间在多大程度上相同。

最早的人脸识别技术，可以追溯到上世纪六七十年代。经过几十年的发展，特别是近年来人工智能领域的进展，这个领域已经有了长足的发展，已经出现在智能手机中——我们在用手机拍照时，往往会发现人脸周围有个小方框。这就是人脸识别的基础用法。

当然，在支付时使用的人脸识别技术，要比拍照时用的那种技术更复杂得多。刷脸支付要考虑多种情况，例如光线情况、人脸是否正对摄像头、拍摄区域内是否有多个人，以及衣物遮挡、化妆、眼镜甚至是整容等等情况，还要考虑摄像头前的人脸是否是照片、是否是活人等等。

要解决这些复杂情况，就需要硬件和软件两方面的协同工作。在硬件方面，刷脸支付机器需要能够识别人脸的细微特征，能够识别出人脸的三维结构，还要能够不受光线明暗变化的干扰。而在软件方面，则需要提高识别的准确率，同时降低误识率。

按照支付宝的说法，刷脸支付可以达到金融级的安全，即使是最相像的同卵双胞胎，也能被区别开来。

和人眼相比，摄像头能够看到更多细节。容易被人眼忽视的细节，例如眼角的皱纹痕迹，或者眼白上的细小血管，也都会被摄像头忠实记录下来。配合现在已经成熟的3D结构光（iPhone的人脸识别使用的就是这种技术）和红外线镜头，刷脸支付设备能够分清摄像头前的是真人还是照片，也能分清长相相似的不同用户。

人脸识别还需要大量的数据量来训练，也需要高效精准的算法，而这对现在的刷脸识别厂商来说也不是什么难事。无论是支付宝还是微信，都是有着数亿级别用户的国民App，而且已经有了几亿组人脸数据。在这样大的数据量上训练人工智能算法，能够达到很高的精确度。我们可以认为，当支付宝和微信开始生产刷脸支付设备时，他们就已经认可了这种技术的安全性。

而且，刷脸支付也还有其他的安全手段。典型的刷脸支付流程是这样的：在商家第一次使用的时候，当收银员输入金额后，用户点击刷脸支付设备屏幕上的支付按钮时，还需要输入手机号的一部分作为辅助验证手段。再多用几次的话，输入手机号的过程也可以省略，只凭刷脸就能完成付款。

在这个流程里，其实经历了好几次数据传递过程。在第一次刷脸支付的时候，刷脸设备拍摄了你的照片，提取出特征码去和支付宝数据库中的识别码对比，来判断你的身份。为了更安全，还要加上手机号码来做另一次确认。随后你的面部识别数据就会存储在商家的计算机中，以后再来消费时，就直接和商家存储的特征码对比。显然，在一个商家覆盖范围内的数千或者数万组人脸数据中查询，要比在支付宝的数据库中查询更快，结果也会更精准。

同样从这个流程中我们可以看出，刷脸支付和扫码支付不一样，它不是用户单方就能完成的行为，而需要收银员和用户的配合。所以不用担心走到刷脸设备摄像头前就会被扣钱，也不用担心替别人埋了单。至于用照片蒙混过关这种事，早就已经行不通了。

除了对盗刷的担心外，人们最容易担心的就是人脸数据的泄露问题。如果某个公司的人脸数据库泄露了，是否就意味着拿到这些数据的黑客可以为所欲为大肆刷脸了呢？

这种担心也同样是不必要的。我们之前说过，在数据库中存储的，往往是一长串复杂的数字，这是从脸部信息中提取出来的识别码。只拿这种识别码去给刷脸支付设备看，是不会得到什么结果的；而在识别码提取过程中，已经处理掉了大量的数据，只有识别码也无法反推出人脸的样子，自然也不会被刷脸支付设备识别。