WebAuthn Passkey
WebAuthn 通行密钥
WebAuthn 通行密钥是一种使用公钥的登录凭证，能抵抗假登录网站。根据提供方和认证器，它可以同步到多台设备，也可能只绑定一台设备。
另一个例子
顾客重新认证后添加通行密钥。服务器会保存凭证 ID 和公钥，发送绑定 `howtovibeui.com` 的新挑战，再检查来源、RP ID、挑战、签名和用户验证。设备丢失时，改用另一把通行密钥或经过审查的恢复流程，不使用安全问题。
主要部分
- 01依赖方与来源
- 02认证器凭证密钥对
- 03新挑战与断言验证
什么时候用
可用通行密钥作为普通登录或加强验证方式，并提供安全注册、多个凭证管理和账号恢复。
什么时候不要用
不要声称每个通行密钥都只在一台设备上，也不能跳过服务器挑战验证。没有明确确认时，绝不能删除最后一条恢复途径。
代码里的名称
navigator.credentials.create/get with PublicKeyCredential + server-side challenge/origin/RP/signature validation 上线前要检查
检查接口约定、任何情况下都不能破坏的规则、授权与输入限制。测试重试、重复执行只生效一次、超时与部分失败。验证数据完整性、兼容性、监控、恢复与回到上一版。
预期结果：为这套系统设计或检查 WebAuthn 通行密钥 (WebAuthn Passkey)，并让数据保持正确、安全且容易维护。 用户场景：顾客重新认证后添加通行密钥。服务器会保存凭证 ID 和公钥，发送绑定 `howtovibeui.com` 的新挑战，再检查来源、RP ID、挑战、签名和用户验证。设备丢失时，改用另一把通行密钥或经过审查的恢复流程，不使用安全问题。 技术概念或控制措施：WebAuthn 通行密钥 (WebAuthn Passkey)。 适用理由：可用通行密钥作为普通登录或加强验证方式，并提供安全注册、多个凭证管理和账号恢复。 不应使用的情况：不要声称每个通行密钥都只在一台设备上，也不能跳过服务器挑战验证。没有明确确认时，绝不能删除最后一条恢复途径。 工程要求：定义输入、输出、接口约定，以及任何情况下都不能破坏的规则。说明授权与输入检查范围。定义失败、超时、重试和重复执行只生效一次的规则。也要定义数据迁移与兼容限制。 运营要求：加入监控信号与隐藏敏感数据的日志。设置容量上限并写好操作手册。测试恢复与回到上一版的流程。 验收标准：接口约定与失败路径测试通过。重试或部分失败时，数据与授权规则仍正确。性能上限、监控、恢复与回到上一版的方法都已验证。 证据与限制（证据边界）：它只代表该来源的官方说法。其他平台或团队可能有不同用法。 待确认：程序运行环境、数据位置、流量形态、数据一致需求和安全边界。也要确认兼容周期、服务目标（SLO）与恢复上一版的限制。
检查这份需求
请 AI 编程助手检查当前如何使用 WebAuthn 通行密钥 (WebAuthn Passkey)。 定义：WebAuthn 通行密钥是一种使用公钥的登录凭证，能抵抗假登录网站。根据提供方和认证器，它可以同步到多台设备，也可能只绑定一台设备。 生产环境检查：检查接口约定、任何情况下都不能破坏的规则、授权与输入限制。测试重试、重复执行只生效一次、超时与部分失败。验证数据完整性、兼容性、监控、恢复与回到上一版。 修改程序前，先列出看到的证据、缺口、严重程度，以及最小且安全的修正。