数字身份与电子身份证 · 行业认知研究报告

NH-IND-2026-0012

数字身份与电子身份证 · 行业认知研究报告

制作日期 2026-09-05　 ·　 数据截止 2026-09-05

关键词数字身份与电子身份证 · 这个行业到底是什么 · 行业结构 · 需求侧 · 供给侧 · 技术 · 商业模式与利润池 · 壁垒

面向 需要建立行业认知的投资人与产业从业者

回答 这个赛道里的钱从哪来、被谁拿走、为什么是他们拿走、未来三到五年什么会变

不做 不含投资建议、标的评级与目标价

一条被「技术就绪」误读的赛道：钱从哪来、被谁拿走、为什么是他们

行业本质：数字身份不是软件生意，是国家把「认定一个人是谁」这项主权职能部分地、

可撤回地外包给产业界，产业界赚的是外包费

一 · 这不是一个软件行业，是一个「法定承认权 + 长周期采购」的行业。用 SaaS 的框架看它，是这个赛道

上最常见、也最贵的错误。

身份的价值不来自技术，来自有多少人被法律要求承认它。一张证件在技术上完美无缺，如果银行不认、机场不认、平台

不认，它的商业价值是零。而“认不认”是一个立法与监管行为，不是产品行为。这条约束决定了这个行业的增长形态：

它是台阶式的，不是曲线式的——每一级台阶都是一部法律。

二 · 政府发证是这个赛道的地基，但地基不是生意。真正的利润池在受监管企业的合规成本里。

印度 Aadhaar 覆盖十三亿人以上，每生成一个身份号的成本是 40.62 卢比（约 0.79 美元）（世界银行《2016 年世界发

展报告：数字红利》Aadhaar 背景论文，Banerjee，2016）；印度身份识别管理局在 2019 年 5 月至 2021 年 3 月的 21

个月里，靠电子身份核验服务收到的钱是 2.391 亿卢比（Moneylife 引述该局数据，2021），年化约 1.37 亿卢比，按当

时汇率约合 185 万美元。

这个数字必须配一句口径说明，否则会被完全读反。 同期 Aadhaar 的认证调用量在百亿次量级，而该局的资费是每次电

子核验 20 卢比、每次是否类核验 0.5 卢比（见 5.3）——按资费直接乘调用量，收入应该在数十亿至数百亿卢比，与实收

差了两到三个数量级。 差额的来源不是统计错误，是收费的分母被主动切掉了：这套资费只向商业机构收取，而绝大多

数认证由政府部门与公共福利场景发起，那部分免费。

所以 2.391 亿卢比反映的不是核验的规模，是一个国家主动放弃了对绝大部分核验收费。

诺辉投资研究部 · 深度报告 数字身份与电子身份证 · 行业认知研究报告

本报告不构成投资建议 1　/　36

对照组是美国一家做消费者身份订阅的公司 CLEAR，2025 年单年收入 9.008 亿美元（Clear Secure 公司公告，

2026-02）。一个覆盖十几亿人的国家级身份系统，其核验业务的年化收入约为这家消费订阅公司的千分之二——而这个

差距是制度选择造成的，不是能力差距。

三 · 需求真正的引擎是监管强制，不是数字化转型。过去两年三条法令线同时压下来，这才是这一轮景气的

年龄验证（英国《在线安全法》2025 年 7 月开始执法、澳大利亚 2025 年 12 月 10 日起禁止 16 岁以下持有社交账号）、

反洗钱与开户核验、以及正在成形的 AI 内容与代理治理——三条线互不相干，但都终结于同一个动作：证明屏幕对面是

四 · 手机钱包厂商不在利润池里，却已经控制了利润池的入口。这是这个行业未来五年最大的结构性张力。

截至 2026 年年中，美国有 21 个州加波多黎各发行了可被运输安全管理局接受的移动驾照，其中 Apple Wallet 支持 17

个州、Google Wallet 支持 12 个州、Samsung Wallet 支持 9 个州（Biometric Update 汇总，2026-09）。苹果和谷歌不

向政府收钱，也不向公民收钱——它们要的是那个位置本身。 欧盟的数字身份钱包法规，本质上是一次夺回分发权的立

五 · 这个赛道的头号风险是政治风险，不是技术风险。英国用十个月完整演示了一遍。

2025 年 9 月 25 日英国首相宣布推行强制数字身份，反对请愿在一个月内达到 290 万签名；据《金融时报》获得的内部

民调，支持率三个月内从 62% 跌到 31%；2026 年 1 月政府改口为自愿；2026 年 7 月 18 日，新任首相直接宣布废除该

计划（信源：英国议会请愿系统请愿记录、《金融时报》报道、半岛电视台报道，2025–2026）。从最高级别的政策承诺

到彻底废除，用时不到十个月——其间英国发生过一次政府首脑更替，这一环在 3.2 单独拆开。

六 · 欺诈端的军备竞赛已经改写了私营侧的成本结构，正在把商业模式从「按次收费」推向「按持续监测收

某检测厂商记录到 2025 年下半年针对 iOS 设备的注入式攻击激增 1,151%，全年增幅 741%（iProov 年度报告，

2026）；行业口径下深度伪造已占生物识别欺诈尝试的约五分之一（多家厂商 2026 年报告汇总口径；【汇总】原始出处

未逐条列示，仅用于判断方向）。一次性核验挡不住这类攻击，这不只是技术升级，它把定价的计量单位从「一次核验」

换成了「一个被持续监测的身份」，客户的年付金额会因此系统性抬升。

七 · 中国是一套独立系统，且商业逻辑与欧美相反：认证环节免费，产业收入在别处。

国家网络身份认证公共服务施行满一年时，4,000 万人申领、接入应用 530 余个、累计认证 2.8 亿次，且明确“免费”提

供给 400 余家单位（新华社，2026-07-13）。核验这个动作在中国被定义为公共服务而非商品，因此中国产业侧的钱不

可能出现在“每次核验收多少钱”这一栏。 它出现在系统集成、密码合规、以及硬件换代周期里——而这几项的增长逻

诺辉投资研究部 · 深度报告 数字身份与电子身份证 · 行业认知研究报告

本报告不构成投资建议 2　/　36

八 · AI 代理身份是真需求，但当前是叙事不是收入。它值得跟踪，不值得据此下注。

FIDO 联盟在 2026 年 4 月成立了代理认证技术工作组，谷歌、万事达、OpenAI 均有参与（Biometric Update / ID Tech

报道，2026）。方向是对的：当发起交易的是软件时，“这个动作是否代表一个被验证过的人的真实意图”确实成为新

问题。但截至本报告数据截止日，我们没有找到任何一家公司披露过这条线上的可辨认收入。

第一章 · 这个行业到底是什么 3

第二章 · 行业结构：三条并行通路，不是一条产业链 5

第三章 · 需求侧：四个付款人，一条真正的引擎 8

第四章 · 供给侧：三张牌桌，玩家互不认识 12

第五章 · 技术：哪些是真变量，哪些是噪音 15

第六章 · 商业模式与利润池：钱在哪里被截住 18

第七章 · 壁垒：哪些是真的，哪些是时间能磨平的 22

第八章 · 政策与地缘：这条链被国家力量干预到什么程度 24

第九章 · 中国：一套逻辑相反的系统 26

第十章 · 未来三到五年：关键变量与研究者判断 29

第十一章 · A 股相关上市公司分类 32

免责声明 35

第一章 · 这个行业到底是什么

1.1 先把边界划清楚

【定义 · 数字身份 Digital Identity】在数字环境中用于识别、区分并核验一个自然人、法人或设备的一组属性与凭据的

总称。它包含三层不同的东西，日常讨论里经常被混为一谈：身份的存在（这个人是否真实存在）、身份的绑定（眼前这

个操作者是否就是那个人）、身份的属性（这个人是否年满 18 岁 / 是否有执业资格）。

【定义 · 电子身份证 Electronic ID / eID】由主权国家或其授权机构签发、具有法定效力的电子形态身份凭据。它与“数

字身份”的关键区别在于法定效力——政府背书使它可以在法律上替代实体证件，而商业身份系统不能。

本报告的覆盖范围包括五块：

板块 包含什么 典型付款方

政府身份签发 电子护照、身份证、驾照、居留证的制卡、芯片、签发系统、生物特征库国家财政

国家级身份平台认证平台、电子证照、身份钱包、跨部门核验接口 国家财政

诺辉投资研究部 · 深度报告 数字身份与电子身份证 · 行业认知研究报告

本报告不构成投资建议 3　/　36

板块 包含什么 典型付款方

商业身份核验 开户核验、反洗钱筛查、年龄验证、活体检测、反欺诈 受监管企业

企业身份管理 员工与客户的登录、授权、单点登录、特权账号管理 企业信息化预算

消费者身份服务会员制快速通行、个人身份保护与监测订阅 消费者本人

明确不包含：一般性的网络安全（防火墙、终端防护）、支付清算本身、以及区块链公链的通证经济。这三者与身份高度

相关，但驱动逻辑不同，混进来会稀释判断。

1.2 为什么是现在

一个已经存在三十年的行业，为什么在这两年变成热点？

技术从来不是答案。 公钥基础设施在 1990 年代就成熟了，电子护照的国际标准 2006 年就已投入使用，指纹与人脸识别

在 2010 年代已经进入消费级设备，移动驾照的国际标准 ISO/IEC 18013-5 在 2021 年就已发布。如果技术就绪能推动一

个行业，这个行业十年前就该起飞了。

真正的变化来自三个方向，且都发生在 2024 至 2026 年这个窗口里：

第一，多国立法同时把“你必须核验用户是谁”写成了强制义务。 英国《在线安全法》在 2025 年 7 月对成人内容站点开

始执法，主管机构可处以最高 1,800 万英镑或全球营业额 10% 的罚款（英国通信管理局执法框架）；澳大利亚 2024 年通

过的《在线安全修正案（社交媒体最低年龄）法案》在 2025 年 12 月 10 日生效，成为全球首个全国性未成年人社交媒体

禁令，已正式认定 10 项服务受限，包括 Facebook、Instagram、Snapchat、Threads、TikTok、X、YouTube、Kick、

Reddit、Twitch（澳大利亚立法与 eSafety 专员公告，2026）。

第二，欧盟把“每个成员国必须给公民提供一个身份钱包”写进了具有直接约束力的条例。 按 eIDAS 2.0 框架，成员国须

在 2026 年 12 月前提供至少一个符合规范的钱包；受监管实体与超大型在线平台被强制接受该钱包的期限，是在钱包可

用后再过一年，落在 2027 年年底（欧盟条例时间表；【汇总】期限本身出自条例，进度评估为多方汇总）。

第三，生成式 AI 让“证明对面是个人”从哲学问题变成了运营问题。 2025 年到 2026 年，深度伪造与注入式攻击的增长

速度远超防御端的部署速度，这一点在第五章展开。

这三件事的共同点是：它们都不是需求方自己想做的，是被法律推着做的。这决定了这个行业的收入曲线形

状——它不平滑，它是台阶。

1.3 行业本质：追问到改不了的那一层

这一节是全篇的骨。如果只读一节，读这一节。

我们用一个简单的方法：不断问“这个行业最终受什么约束”，一直问到答案不再变化为止。

第一问：约束是技术吗？

不是。上一节已经说明，全部关键技术在 2021 年前就已就绪。技术不是瓶颈。

第二问：约束是需求吗？

不是。全球有数十亿人需要可信身份，世界银行的身份促发展项目已支持 60 多个国家、覆盖 5.5 亿人（世界银行 ID4D 项

目披露）。需求是压倒性的。

第三问：约束是钱吗？

不是，但必须分清是哪一段的钱。Aadhaar 每人 0.79 美元 的生成成本证明，在政府签发这一段，大规模身份系统的边际

成本低到几乎可以忽略 ——这一段既不缺钱，也不烧钱。 但商业核验那一段的成本结构完全不同：对抗性研发是与调用

量无关的持续固定投入（第六章），这一段是烧钱的，而且烧的强度直接决定谁能活下来（第五章）。因此钱不是这个行

业整体的约束，但它是商业核验环节的一道分水岭。

第四问：那约束是什么？