WebAuthn Passkey
WebAuthn 通行密鑰
WebAuthn 通行密鑰是一種使用公開金鑰的登入憑證，能抵抗假登入網站。依提供者和驗證器而定，它可以同步到多台裝置，也可能只綁定一台裝置。
另一個例子
顧客重新驗證身分後加入通行密鑰。伺服器會儲存憑證 ID 和公開金鑰，傳送綁定 `howtovibeui.com` 的新挑戰值，再檢查來源、RP ID、挑戰值、簽章和使用者驗證。裝置遺失時，改用另一把通行密鑰或經過審查的復原流程，不使用安全問題。
主要部分
- 01Relying Party 與 Origin
- 02Authenticator Credential 金鑰對
- 03新 Challenge 與 Assertion 驗證
什麼時候用
可用通行密鑰作為一般登入或加強驗證方式，並提供安全註冊、多把憑證管理和帳號復原。
什麼時候不要用
不要宣稱每把通行密鑰都只在一台裝置上，也不能略過伺服器挑戰值驗證。沒有明確確認時，絕不能刪除最後一條復原路徑。
程式裡的名稱
navigator.credentials.create/get with PublicKeyCredential + server-side challenge/origin/RP/signature validation 上線前要檢查
檢查介面約定、任何情況都不能破壞的規則、授權與輸入限制。測試重試、重複執行只生效一次、逾時與部分失敗。驗證資料完整性、相容性、監控、復原與回復上一版。
預期成果：為這套系統設計或檢查 WebAuthn 通行密鑰 (WebAuthn Passkey)，並讓資料保持正確、安全且容易維護。 使用者情境：顧客重新驗證身分後加入通行密鑰。伺服器會儲存憑證 ID 和公開金鑰，傳送綁定 `howtovibeui.com` 的新挑戰值，再檢查來源、RP ID、挑戰值、簽章和使用者驗證。裝置遺失時，改用另一把通行密鑰或經過審查的復原流程，不使用安全問題。 技術概念或控制措施：WebAuthn 通行密鑰 (WebAuthn Passkey)。 適用理由：可用通行密鑰作為一般登入或加強驗證方式，並提供安全註冊、多把憑證管理和帳號復原。 不應使用的情況：不要宣稱每把通行密鑰都只在一台裝置上，也不能略過伺服器挑戰值驗證。沒有明確確認時，絕不能刪除最後一條復原路徑。 工程要求：定義輸入、輸出、介面約定，以及任何情況都不能破壞的規則。說明授權與輸入檢查範圍。定義失敗、逾時、重試和重複執行只生效一次的規則。也要定義資料搬移與相容限制。 營運要求：加入監控訊號與隱藏敏感資料的記錄。設定容量上限並寫好操作手冊。測試復原與回復上一版的流程。 驗收條件：介面約定與失敗路徑測試通過。重試或部分失敗時，資料與授權規則仍正確。效能上限、監控、復原與回復上一版的方法都已驗證。 證據與限制（證據邊界）：它只代表該來源的官方說法。其他平台或團隊可能有不同用法。 待確認：程式執行環境、資料位置、流量形態、資料一致需求和安全邊界。也要確認相容期間、服務目標（SLO）與回復上一版的限制。
檢查這份需求
請 AI 程式助手檢查目前如何使用 WebAuthn 通行密鑰 (WebAuthn Passkey)。 定義：WebAuthn 通行密鑰是一種使用公開金鑰的登入憑證，能抵抗假登入網站。依提供者和驗證器而定，它可以同步到多台裝置，也可能只綁定一台裝置。 正式環境檢查：檢查介面約定、任何情況都不能破壞的規則、授權與輸入限制。測試重試、重複執行只生效一次、逾時與部分失敗。驗證資料完整性、相容性、監控、復原與回復上一版。 修改程式前，先列出看到的證據、缺口、嚴重程度，以及最小且安全的修正。