你的直觉非常准确！这正是 TrustZone 在实际应用中的典型架构模式。

简单直接的回答是：

1. 安全 App（TA）确实运行在 TEE 内部。
2. 整个银行 App 绝不会都在 TEE 内部，绝大部分代码（UI、网络、逻辑）依然运行在普通的 Android 系统中。
3. 它们并不是“一个进程”，而是两个完全独立的进程，分别运行在两个不同的世界里，通过一种特殊的通信机制配合工作。

下面我为你拆解这个“看似一个 App，实则分身有术”的过程：

1. 银行 App 的“分身术”：CA 与 TA

在 TrustZone 的术语中，一个完整的“安全应用”其实是由两部分组成的：

• CA（Client Application，客户端应用）：

  • 位置：运行在普通的 Android 系统中（非安全世界，NS=1）。
  • 内容：这就是你在桌面上看到的那个银行 App 图标。它包含界面（UI）、网络通信、数据库操作、甚至大部分业务逻辑。
  • 权限：普通权限，随时可能被黑客攻击或被系统杀掉。

• TA（Trusted Application，可信应用）：

  • 位置：运行在 TEE 内部（安全世界，NS=0）。
  • 内容：只包含最核心、最机密的代码。比如：指纹比对算法、支付密码验证、数字签名私钥的使用。
  • 权限：最高安全级别，体积很小，代码逻辑简单，很难被攻击。

2. 为什么说它们是“两个进程”？

虽然用户觉得“我就是一个 App 啊”，但在操作系统层面，它们是截然分开的：

• 进程 ID 不同：
  • CA 是 Android 里的一个普通 Linux 进程（由 Zygote 进程 fork 出来）。
  • TA 是 TEE OS 里的一个独立安全任务（拥有独立的 ID 和安全内存空间）。
• 内存隔离：
  • CA 不能直接访问 TA 的内存（因为有 TZASC 拦截）。
  • TA 也不能直接访问 CA 的内存（为了防止 TA 被恶意 CA 欺骗，通常也有限制）。

打个比方：

• CA（Android 部分）就像银行的“营业大厅”。人来人往，客户、保安、甚至小偷都可以在里面活动。这里处理填单子、排队、咨询等非敏感业务。
• TA（TEE 部分）就像银行地下的“金库”。只有特定授权的人（安全逻辑）能进去，里面只存钱和验钞，不接待客户。
• 它们虽然属于同一家银行（同一个 App 品牌），但物理上是完全隔离的两个房间。

3. 它们怎么配合？（SMC 调用）

既然是两个进程，怎么像“一个 App”那样工作呢？靠的是IPC（进程间通信），但在 TrustZone 里叫 SMC（Secure Monitor Call）。

支付流程示例：

1. 用户操作：你在 CA（营业大厅）点击“支付”。
2. 请求：CA 发现需要验证指纹，于是调用系统提供的 API（如 Android 的 Keystore API）。
3. 穿越：API 通过驱动触发 SMC 指令，CPU 瞬间切换状态（NS 位从 1 变 0），跳入 TEE。
4. 处理：TA（金库）被唤醒，读取指纹传感器，验证密码。
5. 返回：验证成功，TA 生成一个 Token，通过 ERET 指令切回非安全世界。
6. 结果：CA 拿到结果，继续显示“支付成功”。

4. 为什么不全放进去？

你可能会问，既然 TEE 这么安全，为什么不把整个银行 App 都放进 TEE？

1. TEE 太“小”了：TEE 的内存通常非常有限（可能只有几 MB 到几十 MB），只能容纳极少数核心代码。而现在的银行 App 动辄上百 MB，包含复杂的 UI 框架、图片资源、网络库，TEE 根本装不下。
2. TEE 太“慢”了：进出 TEE 需要切换 CPU 状态、检查权限、刷新缓存，开销很大。如果每画一个界面都要进出 TEE，手机会卡顿得无法使用。
3. 没必要：把“界面背景颜色”、“字体大小”、“网络缓存”这些代码放进金库没有任何意义，反而增加了金库被攻破的风险（代码越多，漏洞越多）。

总结

你看到的银行 App，其实是一个**“壳”（CA）加上一个“核”（TA）**。

• 壳在 Android 里跑，负责好看、好用。
• 核在 TEE 里跑，负责安全、机密。

它们是两个独立的进程，通过 CPU 的状态切换来握手。这就像特工（TA）躲在掩体里，通过传声筒与外面的联络员（CA）沟通，外面的人永远进不去，里面的人负责处理真正的机密。