Digital-Identity on Armstrong Yan

共享 Myinfo，不只是自动填表

Tue, 21 Jul 2026 08:44:07 +0800

表单要求填写姓名、地址、国籍、联系方式、收入或家庭资料。这样的表单，你以前已经填过某种版本。有些服务还要求上传证明文件，再由工作人员或后台系统核对文件内容与所填信息是否一致。

这时，页面上出现了一个按钮：

获取 Myinfo 数据

在用户眼中，这很像自动填表。

这么理解不算错，但还不够完整。自动填表省的是打字；Myinfo 所做的远不止这些：

Myinfo 在取得同意后，传递经核实的声明。

因此，Myinfo 与 Singpass QR 登录同属一套信任基础设施。

QR 登录回答的是：“我怎样证明自己是谁？”

Myinfo 回答的是：“我怎样授权这项服务使用关于我的特定可信信息？”

这类常见的个人资料页面让用户很容易形成一个直观印象：个人信息分属若干易于理解的类别。Myinfo 真正发挥作用的地方在于，用户同意后，服务可以从中调取特定的经核实声明。

身份验证并不会自动带来个人信息链接到标题

身份验证告诉服务方当前用户是谁。但对许多业务来说，光知道这一点还不够。

银行可能需要身份和居住信息；保险业务可能需要人口统计资料和联系方式；政府申请则可能涉及家庭、就业或福利数据。如果 Singpass 只确认“这名用户已经登录”，用户仍得填写其余字段、上传文件，再等待核验。

更深一层的问题是，各家机构都在重复同一套核验工作。缺少可信的数据共享层，每个依赖方都不得不充当一个小型身份核验系统：收集文件、留存副本、逐项检查、纠正错误，并承担相应的数据风险。

Myinfo 之所以存在，是因为经核实的个人数据也应当纳入共享基础设施。

用户实际看到的是什么链接到标题

不妨把它直观地看成一张包含两类字段的表单。

用户点击“获取 Myinfo 数据”后，一部分字段会从获准使用的数据源调取，并应显示为调取的数据；其余字段仍由用户自行填写。

表单字段	获取 Myinfo 数据后有什么变化	为什么重要
法定姓名、出生日期、国籍、登记地址	从获准使用的政府或参与机构数据源调取，并按原样显示	服务方可以将这些信息视为经核实的声明，而不是用户刚刚输入的一段文字
CPF 缴交记录、估税通知书、家庭或车辆记录	只有依赖方获准申请且用户明确同意，才会调取	敏感信息按范围和用途流转，而不是一次性交出整份个人资料
电子邮箱、偏好的联系时间、配送说明、营销偏好	仍由用户填写或修改	并非每个字段都需要政府背书；有些信息只是个人偏好
数据源中缺失或已经过时的信息	用户可能需要联系源头机构更新，或改走不使用 Myinfo 的流程	表单不应悄悄将来自权威数据源的信息变成可随意修改的普通文字

所以，改变的不只是“填表更快了”。同一张表里既有经核实的声明，也有用户自行提供的信息，还体现了服务方可以接收哪些数据的政策决定。

共享的是声明，不是整份个人资料链接到标题

更恰当的共享单位不是“个人资料”，而是“声明”。

扫描 Singpass 二维码后，系统里发生了什么

Tue, 21 Jul 2026 08:29:11 +0800

你在笔记本电脑上打开一家银行的网站。

点击“使用 Singpass 登录”。

页面上出现一个二维码。

你打开 Singpass 应用，扫描二维码，核对服务名称，然后确认登录。网站随即知道可以让你登录了。

在用户眼里，整个过程简单得近乎不可思议：网页显示二维码，手机完成确认，浏览器接着登录。

但真正关键的问题是：

这个二维码究竟证明了什么？

答案不是“二维码里装着我的身份信息”。

设计得当的二维码登录，恰恰不该如此。二维码里不应包含你的 NRIC、姓名或个人资料，也不应放入长期有效的登录令牌。它只应是一份短期有效的邀请，请你完成一笔特定的身份验证事务。

用系统设计的语言来说：

二维码登录，不是把身份装进二维码。
它发起的是一项短期有效的挑战，
由可信的移动端凭据批准，
再交给网页端的登录会话使用。

这正是整个设计的核心。

这就是大家熟悉的表面体验：扫描或轻点二维码，就能登录。真正重要的是，这个二维码被允许代表什么、它会多快过期，以及手机上的批准最终会绑定到哪个浏览器会话。

二维码只是一道入口链接到标题

第一个常见误区，是把二维码本身当成秘密。

人们很容易以为，二维码携带着某种神奇的身份数据。毕竟，用户一扫码，浏览器就登录成功了。但如果仅凭二维码就能登录，那么任何看到它的人都可以复制、转发，甚至反复使用。

这样的设计非常危险。

更稳妥的做法，是让二维码只包含一个不透明的挑战标识：

qr_challenge_id = "看似随机、短期有效的标识符"

这个标识符本身没有多少意义。它指向服务器端的一条状态记录，而这条记录是在浏览器发起登录请求时创建的。

服务器掌握的信息包括：

哪个依赖方请求了此次登录
哪个浏览器会话正在等待
请求涉及哪些权限或操作
挑战何时过期
挑战是否已经被扫描、批准、拒绝、使用，或已经过期

二维码只是让移动应用向系统表明：

我正在回应这一次特定的登录尝试。

因此，二维码登录不能只做“生成二维码”这一步，后台还必须维护一个生命周期很短的状态机。

屏幕上的流程看似简单，底层却更接近这样：

已创建 -> 已扫描 -> 已批准 -> 已使用
 \-> 已过期
 \-> 已拒绝
 \-> 已取消

状态机之所以重要，是因为登录不是一个静止的页面，而是一笔横跨两台设备的交互事务。系统必须拒绝不安全的状态变化，例如：

已过期 -> 已批准
已使用 -> 已批准
已批准 -> 再次批准

重试、网络延迟或重复点击，都可能触发两次批准请求。但系统不应因此建立两个浏览器会话，也不应签发两个授权码。只有第一次有效批准可以生效。

为什么 Singpass 会成为国家信任基础设施

Tue, 21 Jul 2026 08:09:37 +0800

乍看之下，Singpass 只是一个登录系统。

打开政府网站，点击“使用 Singpass 登录”，扫描二维码，再在手机上确认，接下来就能继续办理事务。对用户而言，整个过程很简单，就像国家版的“使用 Google 登录”。

但如果从第一性原理出发，重新思考这套系统应当如何设计，很快就会发现：登录只是露出水面的一角。

真正的问题远比登录本身复杂：

一个国家怎样让居民证明自己的身份，
让各项服务信任这份证明，
让数据在本人同意的前提下流转，
同时确保整个过程安全、可审计？

这样一问，国家数字身份平台就不再只是一项身份验证功能，而成了公共信任基础设施。

我们熟悉的应用界面已经显露出这一点：Singpass 不仅用于登录，也正逐渐成为人们使用各类公共服务的可信入口。

假如没有 Singpass 链接到标题

不妨设想一下，如果 Singpass 并不存在。

每个政府机构、银行、医院、学校、雇主和公共服务部门，都要分别弄清几件大同小异的事：

这个人是谁？
对方真是自己声称的那个人吗？
此人有权执行这项操作吗？
此人是否同意分享这些资料？
日后能否查明并证明当时究竟发生了什么？

没有国家数字身份平台，每个机构都得自行解决这些问题。

居民要注册许多账户、记住许多密码，一遍遍上传身份证明，还要在不同表格中反复填写同样的个人资料。各机构则要自行搭建身份核验机制、保存敏感数据，并分别设计账户恢复流程。结果就是重复建设、办事受阻、风险累积。

国家数字身份平台之所以必要，正是因为身份从来都是一个共同问题。

第一项基础能力：身份锚点链接到标题

第一块基石，是稳定的身份锚点。

平台需要为每一位符合条件的居民建立持久的内部身份，但不应在所有场景中直接暴露国家身份证号码。更合理的做法，是使用内部用户标识符，而将国家身份标识符视为指向权威登记系统的敏感参考信息。

平台应掌握足以核验和表示个人身份的信息，却不应占有所有政府数据。

这个区别很重要。

国家数字身份平台应与移民、人力、税务、养老金、医疗等公共机构的权威数据源相连，但不能把各领域的数据全都收归自身。否则，它就会沦为一个无所不包的巨型中央数据库，不仅会扩大安全事件的波及范围，还会增加隐私风险和治理难度。

身份平台应充当信任层，而不是每一项事实的所有者。

第二项基础能力：身份验证器链接到标题

身份锚点只能说明某个身份确实存在，却不能证明此刻操作浏览器或手机的人就是这个身份的真正持有人。

这要由身份验证器来证明。

国家级平台不能只依赖密码。密码虽然人人熟悉，却容易被钓鱼窃取，也常遭重复使用，安全强度往往不足。严肃的身份平台需要提供多种验证方式，并划分不同的身份验证保障等级：

使用密码登录，满足基本访问需求
使用移动应用凭证，加强身份验证
通过二维码确认，实现跨设备登录
使用通行密钥或设备生物识别，实现无密码身份验证
通过人脸核验，处理高风险流程
用户失去设备访问权后，通过线下方式恢复账户

关键不在于“多支持几种登录方式”，而在于建立一套明确的身份验证强度模型。

浏览低风险页面，可能只需要较低等级的保障；访问医疗数据、签署法律文件、批准银行交易或恢复账户，则应满足更高的保障要求。这时就需要升级身份验证。

成熟的身份平台不会只问“用户登录了吗”，而会继续追问：“我们有多大把握确认操作者就是用户本人？这份把握足以支撑当前操作吗？”

第三项基础能力：身份联合链接到标题

如果平台只能用于自家网站，价值就十分有限。

Digital-Identity on Armstrong Yan

共享 Myinfo，不只是自动填表

身份验证并不会自动带来个人信息 链接到标题

用户实际看到的是什么 链接到标题

共享的是声明，不是整份个人资料 链接到标题