现代手机存储着大量敏感信息：指纹模板、面部数据、密码、支付密钥、加密货币私钥等。如果这些数据存储在普通的操作系统中，一旦系统被攻破，数据就会泄露。TEE（Trusted Execution Environment，可信执行环境）在手机处理器中划出一个独立的安全区域，与主操作系统（Android/iOS）隔离，敏感数据和安全操作都在TEE中完成，即使主系统被恶意软件感染，也无法访问TEE中的数据。
TEE的硬件基础是ARM TrustZone技术或苹果Secure Enclave。TrustZone将处理器划分为两个世界：正常世界运行Android和普通应用，安全世界运行可信操作系统和可信应用。两个世界通过监控模式切换，正常世界无法直接访问安全世界的内存。
安全世界有自己独立的内存、加密引擎和安全存储。当普通应用需要安全操作时，通过API向TEE发送请求，TEE完成操作后只返回结果，不暴露原始数据。
TEE的典型应用场景包括：生物识别——指纹和面部数据的采集、存储和比对都在TEE中完成，主系统只能获得通过或不通过的结果；移动支付——支付密钥存储在TEE安全存储中，交易签名在TEE内完成；安全启动——TEE验证bootloader和系统签名，防止恶意软件篡改；数字版权管理——高清视频解密密钥在TEE中处理；加密货币钱包——私钥在TEE中生成和签名，永不暴露。
TEE的安全性建立在硬件隔离之上，但并非绝对安全。研究人员曾发现某些TEE实现中的侧信道攻击和可信应用漏洞。因此，高端手机还会使用独立的安全芯片（如谷歌Titan M），它有自己的处理器、内存和加密引擎，物理隔离程度比TrustZone更高。
TEE的标准由GlobalPlatform组织制定，确保不同厂商的实现兼容。理解TEE原理，有助于解释为什么手机被root后指纹支付会失效、为什么生物识别数据无法被App直接获取。
