J*aScript生物识别_WebAuthn认证流程

发布时间：2025-11-21

点击量：

WebAuthn通过公钥加密和生物识别实现无密码认证，提升安全性和用户体验。1. 注册时调用n*igator.credentials.create()生成密钥对，公钥由服务器存储，私钥安全保存在设备中；2. 登录时通过n*igator.credentials.get()获取凭证，使用私钥对挑战进行签名完成身份验证；3. 服务器负责生成挑战、验证签名结构、校验源和rpId一致性，并维护用户与凭证映射；4. 生物识别仅用于本地验证用户存在，解锁私钥时不暴露生物数据，保障隐私。该方案依赖前后端协同，实现抗钓鱼、防重放的安全认证。

javascript生物识别_webauthn认证流程

WebAuthn（Web Authentication）是一种基于标准的API，允许网站通过公钥加密和生物识别技术（如指纹、面部识别）或安全密钥实现强身份验证。它取代了传统密码登录，提升安全性与用户体验。以下是使用J*aScript实现WebAuthn认证的基本流程。

1. 注册流程（注册新凭证）

用户首次注册时，网站请求浏览器生成一对公私钥，并将公钥发送至服务器保存，私钥则安全存储在设备中（如TPM、Secure Encl*e或安全密钥）。

前端（J*aScript）操作：

调用 n*igator.credentials.create() 发起注册请求
传入服务器生成的挑战（challenge）、RP信息、用户信息等参数
用户通过指纹、面容或PIN完成身份确认
浏览器生成密钥对并返回包含公钥的凭证响应
将响应数据（如 attestationObject、clientDataJSON）发送至服务器验证并存储

示例代码片段：

const publicKey = {
  challenge: new Uint8Array([/* 来自服务器的随机字节 */]),
  rp: { name: "My App" },
  user: {
    id: new Uint8Array(16),
    name: "user@example.com",
    displayName: "John Doe"
  },
  pubKeyCredParams: [
    { type: "public-key", alg: -7 }, // ES256
    { type: "public-key", alg: -257 } // RS256
  ],
  timeout: 60000,
  authenticatorSelection: {
    userVerification: "preferred"
  }
};
<p>const credential = await n*igator.credentials.create({ publicKey });
// 发送 credential 到服务器保存

2. 认证流程（登录验证）

用户登录时，服务器要求验证其拥有之前注册的私钥，通过签名挑战来完成。

前端（J*aScript）操作：

Waifulabs

一键生成动漫二次元头像和插图

317 查看详情 Waifulabs

调用 n*igator.credentials.get() 请求认证
服务器提供 challenge 和已注册的凭证ID列表
用户通过生物识别或安全设备确认身份
浏览器使用私钥对挑战进行签名并返回签名数据
将签名响应发送至服务器验证合法性

示例代码片段：

const assertion = await n*igator.credentials.get({
  publicKey: {
    challenge: new Uint8Array([/* 服务器下发的挑战 */]),
    allowCredentials: [{
      type: 'public-key',
      id: new Uint8Array([/* 已注册的凭证ID */])
    }],
    timeout: 60000
  }
});
<p>// 发送 assertion.response 到服务器验证签名

3. 服务器端关键职责

虽然前端使用J*aScript驱动流程，但安全性依赖于后端正确实现：

生成并验证随机挑战（防止重放攻击）
验证 attestation/attestation 签名结构（如使用 COSE 格式）
校验 origin、rpId 是否匹配
维护用户与凭证ID的映射关系
在认证时验证签名是否由对应私钥生成

4. 生物识别的实际角色

生物识别（如Touch ID、Windows Hello）是“用户存在验证”（User Verification）的一种方式，实际不直接参与密钥运算：

私钥永不离开设备，签名在安全环境中执行
生物信息仅用于本地解锁私钥（例如触发 Secure Encl*e）
系统可回退到 PIN 或设备密码
开发者无法获取生物数据，符合隐私保护设计

基本上就这些。WebAuthn结合J*aScript与现代浏览器能力，实现了无密码、抗钓鱼的安全认证，尤其适合需要高安全性的应用系统。

以上就是J*aScript生物识别_WebAuthn认证流程的详细内容，更多请关注其它相关文章！

上一篇：HTML文本域怎么定义_HTML文本域textarea的属性

下一篇：J*aScript原型防御：保护内置对象行为及预防策略