WebAuthn實現(xiàn)瀏覽器無密碼登錄

應用程序發(fā)出注冊請求，服務端提供api由前端js調(diào)用發(fā)起注冊請求；

服務器將挑戰(zhàn)碼、用戶信息和依賴方信息發(fā)送回應用程序；

challenge：挑戰(zhàn)碼必須是隨機的 buffer（至少 16 字節(jié)），并且必須在服務器上生成以確保安全；

user info：用戶信息，服務端需要知道當前誰來注冊，正常應用場景中，第一步需要在其他輔助認證的情況下獲取當前合法用戶信息，比如第一步傳輸靜態(tài)用戶名密碼來做一次校驗，服務器認可當前是一個合法用戶請求注冊；

relying party info：服務端上下文，包含Authenticator Attestation Response中的 Public Key Credential。

請求認證器創(chuàng)建認證證書，瀏覽器生成客戶端數(shù)據(jù)（client Data）生成client Data Hash（由挑戰(zhàn)碼，服務端上下文 的 SHA-256 哈希）傳輸給認證器。

認證器通常會以某種形式要求用戶確認密鑰器的所屬，如輸入 PIN、使用指紋、進行虹膜掃描等，以證明用戶在場并同意注冊。驗證通過后，認證器將創(chuàng)建一個新的非對稱密鑰對，并安全地存儲私鑰以供將來驗證使用。公鑰則將成為證明的一部分，被在制作過程中燒錄于認證器內(nèi)的私鑰進行簽名。這個私鑰會具有可以被驗證的證書鏈。

返回數(shù)據(jù)包括新的公鑰、全局唯一的憑證ID和認證憑證數(shù)據(jù)（Attestation object l包含F(xiàn)IDO的元數(shù)據(jù)）會被返回到瀏覽器。

包含公鑰，全局唯一的憑證ID、認證憑證數(shù)據(jù)、客戶端數(shù)據(jù)（client Data）；其中認證憑證數(shù)據(jù)包含了client Data Hash，可以確定當前生成的公鑰是分配給當前請求注冊的用戶。

收到客戶端發(fā)送的注冊請求，服務器需要執(zhí)行一系列檢查以確保注冊完成且數(shù)據(jù)未被篡改。步驟包括：

a.驗證接收到的挑戰(zhàn)與發(fā)送的挑戰(zhàn)相同；

b.確保 origin 與預期的一致；

c.使用對應認證器型號的證書鏈驗證 client Data Hash 的簽名和驗簽；

應用程序發(fā)出注冊請求，服務端提供api由前端js調(diào)用發(fā)起注冊請求；

挑戰(zhàn)碼必須是隨機信息（例如超過100字節(jié)）的大緩沖區(qū)，并且必須在服務器上生成挑戰(zhàn)碼，以確保身份驗證過程的安全。

瀏覽器生成客戶端數(shù)據(jù)（client Data）生成client Data Hash（由挑戰(zhàn)碼，服務端上下文 的 SHA-256 哈希）傳輸給認證器。

認證器提示用戶進行身份認證（如輸入 PIN、使用指紋、進行虹膜掃描等），并通過在注冊時保存的私鑰對client Data Hash和認證數(shù)據(jù)進行簽名創(chuàng)建斷言。

返回認證數(shù)據(jù)和簽名到瀏覽器。

包含客戶端數(shù)據(jù)（client Data）、認證數(shù)據(jù)和簽名到瀏覽器。

收到瀏覽器發(fā)送的認證請求，服務器需要執(zhí)行一系列檢查以確保認證完成且數(shù)據(jù)未被篡改，步驟包括：

a.使用注冊請求期間存儲的公鑰驗證身份驗證者的簽名。

b.確保由身份驗證程序簽名的挑戰(zhàn)碼與服務器生成的挑戰(zhàn)碼匹配。

c.檢查賬號信息，是否是服務端的存在的賬號。