WebAuthn实现浏览器无密码登录

应用程序发出注册请求，服务端提供api由前端js调用发起注册请求；

服务器将挑战码、用户信息和依赖方信息发送回应用程序；

challenge：挑战码必须是随机的 buffer（至少 16 字节），并且必须在服务器上生成以确保安全；

user info：用户信息，服务端需要知道当前谁来注册，正常应用场景中，第一步需要在其他辅助认证的情况下获取当前合法用户信息，比如第一步传输静态用户名密码来做一次校验，服务器认可当前是一个合法用户请求注册；

relying party info：服务端上下文，包含Authenticator Attestation Response中的 Public Key Credential。

请求认证器创建认证证书，浏览器生成客户端数据（client Data）生成client Data Hash（由挑战码，服务端上下文 的 SHA-256 哈希）传输给认证器。

认证器通常会以某种形式要求用户确认密钥器的所属，如输入 PIN、使用指纹、进行虹膜扫描等，以证明用户在场并同意注册。验证通过后，认证器将创建一个新的非对称密钥对，并安全地存储私钥以供将来验证使用。公钥则将成为证明的一部分，被在制作过程中烧录于认证器内的私钥进行签名。这个私钥会具有可以被验证的证书链。

返回数据包括新的公钥、全局唯一的凭证ID和认证凭证数据（Attestation object l包含FIDO的元数据）会被返回到浏览器。

包含公钥，全局唯一的凭证ID、认证凭证数据、客户端数据（client Data）；其中认证凭证数据包含了client Data Hash，可以确定当前生成的公钥是分配给当前请求注册的用户。

收到客户端发送的注册请求，服务器需要执行一系列检查以确保注册完成且数据未被篡改。步骤包括：

a.验证接收到的挑战与发送的挑战相同；

b.确保 origin 与预期的一致；

c.使用对应认证器型号的证书链验证 client Data Hash 的签名和验签；

应用程序发出注册请求，服务端提供api由前端js调用发起注册请求；

挑战码必须是随机信息（例如超过100字节）的大缓冲区，并且必须在服务器上生成挑战码，以确保身份验证过程的安全。

浏览器生成客户端数据（client Data）生成client Data Hash（由挑战码，服务端上下文 的 SHA-256 哈希）传输给认证器。

认证器提示用户进行身份认证（如输入 PIN、使用指纹、进行虹膜扫描等），并通过在注册时保存的私钥对client Data Hash和认证数据进行签名创建断言。

返回认证数据和签名到浏览器。

包含客户端数据（client Data）、认证数据和签名到浏览器。

收到浏览器发送的认证请求，服务器需要执行一系列检查以确保认证完成且数据未被篡改，步骤包括：

a.使用注册请求期间存储的公钥验证身份验证者的签名。

b.确保由身份验证程序签名的挑战码与服务器生成的挑战码匹配。

c.检查账号信息，是否是服务端的存在的账号。