App将用户信息提交给第三方实名认证服务器，实名认证服务器调用相应的数据库对真实身份信息进行比对，最终返回验证结果给App。流程如下图所示：
在实际应用中App常用的实名认证方式有以下几种：
（一）身份证二要素验证：调用公安等政府部门的官方身份数据库，验证用户姓名与身份证号与库中数据的一致性，常用于网络社区、酒店服务、交通票务、网络游戏等行业的App。
（三）银行卡四要素验证：调用银联数据库接口，验证用户的姓名、身份证号、银行卡号、银行预留手机号与库数据的一致性，常用于网络支付、手机银行、网络借贷、投资理财等行业的App。
除以上三种验证方式，部分App还采用收集用户脸部、指纹、虹膜等生物信息来确认其身份的真实性的“实人认证”。这种增强式的实名认证在实际应用中有越来越被宽泛使用的趋势。
二。实名认证场景及分析
（一）履责需要
（二）风险控制
加强服务安全性时的增强性身份验证。为确保资金安全，在用户进行支付、提现、投保、借款、交易等的操作时，App要求提供用户姓名和证件号码的真实身份信息。（见图七、图八）。
确认用户行为出自本人意愿。App在用户进行账号注销、个人历史信息导出等与用户权益关系重大的操作时为确保用户为账号拥有者，采用实名制的方式来防范可能被恶意注销账号和被他人盗取信息副本的风险。（见图九、图十）。
（三）无明确对应目的
以各类奖励方式为由收集实名信息。与以上场景不同的是此类场景下的实名认证不是强制的。App使用红包、礼品券等方式奖励用户完成实名认证环节或者以提高信任值、提升成交率、有可能享受更多权益等理由让用户同意实名认证（图十一、图十二）。
三。App实名认证收集个人信息存在的问题分析
上述App常见的实名认证场景中，从检测评估的结果来分析，主要存在以下问题：
（一）App阐述实名认证所依据的要求不明确
（二）泛化使用实名制的要求
2017年6月1日开始实施的《网络安全法》提出的“网络运营者，应当要求用户提供真实身份信息”统领性要求，但尚没有详细、完整的配套文件对需实名认证具体的服务类型进行界定，没有对不同场景实名认证所需真实身份信息的具体类别进行明确。随着越来越多App在越来越多的场景下要求用户进行实名认证，就有部分企业存在“搭便车”心态，泛化使用实名认证要求，在既非必要场景下，又非强实名要求下，以实名认证为由要求用户提供姓名、身份证号码甚至人脸信息。且由于很多App在要求用户实名认证时，未能明确说明所依据的法律法规要求，用户也就很难分辨其必要性。
（三）欺骗用户提供实名认证的个人信息
实名制的推出有利于行业主管部门进行监督，打击犯罪，实名制已介入社会管理的多个领域，为了防范黄牛倒卖，实行了“火车票实名制”；为了保护个人财产，实行了“储蓄实名制”；为了杜绝垃圾、欺诈短信，实行了“手机实名制”。实名认证对社会管理追责方面也发挥了重要作用，但仍有些App“以欺诈、诱骗等不正当方式误导用户同意收集实名信息”的行为，比如，以实名认证为由收集用户个人信息，但并未对信息作真实性核验。测试发现，使用用户A的姓名、用户B的身份证号码，用户C的人脸信息，却通过了某些App的实名认证。出现该问题的原因有二，其一是由于验证用户信息的真实性时，调用第三方接口需支付一定的服务费用，在用户量大的情况下，费用对于App而言是一笔不小的开支；其二因为大部分人还是会提交真实的个人信息，App运营者通过超范围收集方式“囤积”数据，收集的这些敏感的个人信息，将可能为其提供更多的“变现”机会。
（四）未向用户明示实名信息的处理方式
《网络安全法》第四十三条规定，网络运营者应按照法律、行政法规的规定和与用户的约定，收集使用个人信息。据此规定，以实名认证为由收集的个人信息不应用于其他用途，在使用实名认证接口服务时，不得私自截留、存储此部分信息。在实践中大多数App在实名认证时，没有说明此信息在完成相应身份验证功能后将被如何处理（见图十三、图十四）。个人实名信息大多为敏感个人信息，一旦泄露可能会对用户财产等个人权益造成严重危害，特别是人脸、指纹等生物特征，属于不可变更的信息，除非特殊的场景不应收集。对于实名信息，如国家法律法规提出了保存要求时，应对个人信息安全作充分地影响评估，确保系统信息保护机制达到相应的要求。
四。几点安全建议：
App实名认证涉及庞大的数据信息，紧密关系着网民的个人信息安全，它的顺利推行还需有关主管部门进一步完善顶层设计和配套措施，推动网络运营者依法依规，在遵循最小必要原则前提下收集使用用户实名信息。
政策法规层面：可针对实名制的应用场景进行区分，出台相应的规章文件以及分级分类保护政策，制定标准规范引导企业正确应用。规章、政策等提出的框架性要求，应有配套的标准规范“明确”其范围、类型。同时，要充分发挥实名制的积极作用，还应当建立相应的监督管理机制，压缩运营者的自由裁量空间，避免运营者泛化使用实名制要求。