WebAuthn无密码认证：The Copenhagen Book现代认证方案详解-平芜编程栈

WebAuthn无密码认证：The Copenhagen Book现代认证方案详解

【免费下载链接】copenhagenA basic guideline on implementing auth for the web项目地址: https://gitcode.com/gh_mirrors/co/copenhagen

WebAuthn无密码认证是现代Web安全认证的革命性方案，作为The Copenhagen Book推荐的核心认证机制，它通过将用户私钥存储在设备端，彻底改变了传统密码认证的风险模式。本文将从基础概念到实际应用，全面解析WebAuthn如何为你的Web应用构建更安全、更便捷的用户认证体系。

为什么WebAuthn是下一代认证标准？

传统密码认证存在诸多痛点：弱密码易被破解、用户记忆负担重、钓鱼攻击防不胜防。WebAuthn（Web Authentication）作为W3C标准，通过公钥密码学实现无密码认证，用户只需通过设备的PIN码或生物识别（如指纹、面容）即可完成身份验证，从根本上消除密码泄露风险。

The Copenhagen Book明确指出，WebAuthn认证具有三大核心优势：

防钓鱼：基于域名绑定的挑战-响应机制，杜绝虚假网站窃取凭证
抗暴力破解：私钥存储在设备安全芯片中，无法通过网络传输
跨平台兼容：支持主流浏览器和操作系统，包括Windows Hello、Apple Face ID、Android安全密钥等

WebAuthn核心概念解析

关键术语一览

术语	定义
依赖方（Relying Party）	你的Web应用，负责存储用户公钥和验证签名
认证器（Authenticator）	用户设备（如手机、安全密钥），安全存储私钥
挑战（Challenge）	服务器生成的一次性随机令牌，防止重放攻击
用户验证（User Verification）	通过PIN或生物识别确认用户身份
驻留密钥（Resident Key）	存储在设备中的凭证，支持无密码登录

两种主流应用模式

WebAuthn主要有两种部署方式，适用于不同场景需求：

Passkey（密码替代品）
作为完整的密码替代品，凭证以驻留密钥形式存储在用户设备中。用户无需记忆密码，直接通过设备验证即可登录。The Copenhagen Book推荐配置：
```
authenticatorSelection: { userVerification: "required", // 强制用户验证 residentKey: "required", // 必须使用驻留密钥 requireResidentKey: true }
```
安全令牌（二因素认证）
作为密码之外的第二重保障，通常使用跨平台安全令牌（如USB密钥）。此时凭证无需驻留，可加密存储在服务器：
```
authenticatorSelection: { userVerification: "discouraged", residentKey: "discouraged", authenticatorAttachment: "cross-platform" // 限制为外部安全令牌 }
```

从零实现WebAuthn认证流程

1. 注册阶段：创建用户凭证

注册流程是用户首次将设备与账号绑定的过程，核心是生成公私钥对并安全存储公钥。

客户端步骤：

从服务器获取挑战值（challenge）
调用Web Authentication API创建凭证
将客户端数据和认证器数据提交服务器

关键代码示例（TypeScript）：

const credential = await navigator.credentials.create({ publicKey: { rp: { name: "你的应用名称" }, // 依赖方名称 user: { id: crypto.getRandomValues(new Uint8Array(32)), // 随机用户ID name: "user@example.com", // 用户标识符 displayName: "张三" // 显示名称 }, challenge: serverChallenge, // 服务器提供的挑战值 pubKeyCredParams: [{ type: "public-key", alg: -7 }], // ES256算法 authenticatorSelection: { userVerification: "required", residentKey: "required" } } });

服务器验证要点：

验证挑战值有效性（防止重放攻击）
解析认证器数据中的RP ID哈希（确保域名匹配）
提取并存储公钥和凭证ID（参考pages/webauthn.md完整验证逻辑）

2. 认证阶段：验证用户身份

认证流程是用户登录时的身份验证过程，通过私钥签名挑战值完成身份确认。

客户端步骤：

获取服务器挑战值
调用API获取断言凭证
提交签名数据至服务器

代码示例：

const credential = await navigator.credentials.get({ publicKey: { challenge: serverChallenge, userVerification: "required", allowCredentials: [/* 用户已注册凭证列表 */] } });

服务器验证核心：

验证客户端数据类型为"webauthn.get"
检查认证器数据中的用户验证标志
使用存储的公钥验证签名（The Copenhagen Book推荐实现）：

// 伪代码：验证ECDSA签名 clientDataJSONHash := sha256.Sum256(clientDataJSON) data := append(authenticatorData, clientDataJSONHash[:]...) hash := sha256.Sum256(data) valid := ecdsa.VerifyASN1(publicKey, hash[:], signature)