Appearance
WebAuthn 与通行密钥：注册、验证和账号恢复
修订于 2026-10-12。本文不引用未经核实的安全事件和登录转化数据。
WebAuthn 让网站为特定依赖方创建并使用公钥凭证。注册时服务器保存公钥等凭证信息；登录时验证器对挑战签名，服务器验证签名、挑战、来源及依赖方标识。私钥由验证器保护，不需要像密码那样发送给网站。
通行密钥是基于 FIDO/WebAuthn 的用户体验形式，可由设备或凭证提供方管理。其抗钓鱼特性依赖凭证与网站身份绑定；但这不表示账号体系从此没有风险。账号恢复、会话劫持、错误绑定新凭证和后台权限管理仍需独立设计。
实施检查
- 在受支持的 HTTPS 域名下测试注册与登录，核对 RP ID、origin 和挑战有效期。
- 支持用户查看、添加和移除凭证，并对这些敏感操作进行重新验证。
- 设计设备丢失和跨设备迁移后的恢复方式，避免恢复路径弱于主登录方式。
- 兼顾无障碍、浏览器与设备兼容性，保留必要的替代路径。
- 记录失败类型而不是私钥或敏感凭证内容，监控注册与登录的真实完成率。