[feat] add Android trusted device authentication

apps/android/README.md

@@ -2,6 +2,12 @@
 
 原生 Android 控制端，使用 Java 界面、JNI 和 MiniRTC，与桌面端使用相同的信令、ICE、SRTP 和输入协议。没有 WebView。支持 Android 8.0（API 26）及以上的 arm64 手机和平板。桌面、Android、iOS 和 HarmonyOS 共用客户端发布版本，各移动平台构建号独立；可在仓库根目录执行 `python3 scripts/version.py show client` 查看，使用 `set client <版本>` 同步修改，详见[组件版本管理](../../docs/VERSIONING.md)。
 
+## 可信设备鉴权
+
+“设置 → 本机配对信息 → 查看指纹”可查看本机指纹并复制配对信息。将信息粘贴到被控电脑的“管理可信设备 → 添加可信设备”，核对指纹后添加，即可连接开启“仅允许可信设备控制”的电脑；连接密码仍需验证。
+
+移动端使用共享 Ed25519 挑战响应协议。私钥通过 Android Keystore / AES-GCM 加密后保存在应用私有持久存储，不写入缓存、日志或配对信息。重启、清理缓存、更换服务器和本机登录 ID 不改变公钥；已有密钥损坏、无法读取或丢失时停止初始化并提示错误，不自动换钥。清除应用数据或卸载后重新安装，需要重新配对。
+
 ## 当前功能
 
 - 官方或自托管 WSS 信令服务器；授权后进入前台即自动注册或登录本机身份，首页实时显示连接、重连及失败状态。发起桌面连接时复用该身份；切换服务器会重新登录，撤回授权会关闭连接。已有远程会话优先通过系统画中画保持连接，画中画不可用时由带连接通知的前台服务兜底；首页空闲信令在后台关闭。