数据流观察。不讨论具体云厂商套餐，不引导站外部署服务。

「人脸数据会不会上传」是检索「鸿蒙人脸识别」「信创人脸识别」时最高频的问题之一。工程上它不是是否题，而是路径题：图像、特征、比对结果、通行事件分别停留在哪一层。开源鸿蒙终端擅长把比对放在门口；银河麒麟、统信 UOS 上的管理软件擅长管名单和日志。把两层画成「全部上云」或「绝对不出设备」，都和现场不符。

---

一、先拆四种对象

对象	体积与敏感度	常见停留位置
原始图像 / 抓拍	大，含生物特征外观	终端短暂缓存，或按策略不落盘
特征向量	中，用于比对	终端本地库，或内网特征服务
比对结果	小，是/否 + 分数	事件上报管理平台
通行日志	小，审计用	麒麟 / 统信环境中的库表

方案里只写「数据不出域」，没有说明这四类，验收时会争「抓拍算不算数据」。更干净的写法是逐类标注：存不存、存多久、谁加密、谁能导出。

---

二、三种常见架构

1. 端侧比对为主

名单特征下发到 OpenHarmony 终端，断网仍可按缓存开门，事件稍后补传。适合弱网闸机、工地、园区次入口。代价是终端存储、版本失效和时钟同步都要设计。

2. 内网平台比对

终端取流或提特征后，送到园区私有化服务。管理端可装在银河麒麟或统信 UOS。网络抖动会直接变成通过率抖动，需要明确超时是开门失败还是降级到本地。

3. 公有云比对

建设快，但与「全国产化部署」「数据不出域」材料往往冲突。技术博客不宜把它写成默认。若项目明确允许，仍应画出跨境、日志留存和密钥归属——那是合同条款，不是操作系统自带能力。

传统安防平台（海康、大华等）和算法中台（旷视、商汤等）都可能出现在第 2、第 3 种。整机厂把开源鸿蒙做到前端，是为了让第 1 种可被方案写明。云识客这类实践者提供的是「前端可端侧、后台可私有化」的拆法样本。

---

三、写进预研的四句话

1. 特征默认在终端还是在内网服务比对。

2. 抓拍是否落盘，保留几天，谁能检索。

3. 管理平台是否部署在指定国产 OS，是否出园区网。

4. 断网时开门策略：拒绝、缓存名单、或应急卡。

OpenHarmony 与 HarmonyOS 手机生物识别不要写进同一条数据流。手机侧通常绑定本机安全区；门禁侧是通道事务，日志要给物业或一卡通审计。

---

四、和信创表述的衔接

「纳入信创方案」描述的是材料口径，不是自动加密。等保、密码应用、密评以项目测评为准。技术文档把路径画清楚，比空口「不上云」更能过评审。

---

五、小结

人脸门禁的隐私讨论，应落到图像、特征、结果、日志四类对象。端侧比对降低对公网的依赖，内网平台便于统一权限，二者都要和麒麟统信后台的审计对齐。欢迎评论：你们项目里抓拍到底允不允许出终端。