标签： 软件

在生产环境中，为了提高安全性，您可以通过更严格的CORS策略来控制哪些域名、HTTP方法和头部可以访问您的API。以下是一些常见的做法，您可以根据需要调整配置：

1. 限制 Access-Control-Allow-Origin

在生产环境中，通常会限制CORS只允许特定的域名，而不是使用通配符*。这可以防止您的API被不受信任的来源滥用。

"Access-Control-Allow-Origin": [
    "https://yourdomain.com"
]

• 解释: 只允许来自https://yourdomain.com的请求访问API。您可以根据需要列出多个域名。

2. 限制 Access-Control-Allow-Methods

只允许特定的HTTP方法进行跨域请求。例如，如果您的API仅支持读取和创建操作，那么您可以限制为GET和POST方法。

"Access-Control-Allow-Methods": [
    "GET",
    "POST"
]

• 解释: 只允许GET和POST方法，这样可以防止其他不必要的方法（如PUT或DELETE）被滥用。

3. 限制 Access-Control-Allow-Headers

只允许必要的头部字段。通常，您可能只需要允许Authorization头和一些基本的内容类型。

"Access-Control-Allow-Headers": [
    "Authorization",
    "Content-Type"
]

• 解释: 这样可以防止客户端发送不必要的头部字段，从而减少潜在的安全风险。

4. 考虑移除 Access-Control-Allow-Credentials

在某些情况下，您可能不希望允许凭证（如Cookies、HTTP认证信息）被发送，尤其是当API不需要身份验证时。通过移除或设置Access-Control-Allow-Credentials为false，可以防止凭证信息的泄露。

"Access-Control-Allow-Credentials": [
    "false"
]

• 解释: 设置为false或移除此字段后，跨域请求将不能携带凭证信息。

5. 设置 Access-Control-Allow-Expose-Headers 仅暴露必要的头部

仅允许客户端访问特定的响应头，而非所有头部。这可以进一步限制客户端获取敏感信息。

"Access-Control-Allow-Expose-Headers": [
    "Content-Length",
    "Content-Type"
]

• 解释: 只允许客户端访问Content-Length和Content-Type头部，其他头部信息将不会暴露给客户端。

6. 使用Access-Control-Max-Age缓存预检请求结果

预检请求（OPTIONS方法）会影响API的性能。通过设置Access-Control-Max-Age，可以缓存预检请求的结果，减少不必要的请求。

"Access-Control-Max-Age": [
    "86400"
]

• 解释: 设置为86400秒（1天），表示浏览器可以缓存预检请求的结果1天，减少实际请求次数。

7. 监控和日志记录

最后，建议在生产环境中监控和记录所有CORS请求。通过日志记录，可以跟踪来自不同来源的请求，识别潜在的安全漏洞或滥用行为。

示例配置

以下是一个示例配置，应用了上述的生产环境建议：

"HTTPHeaders": {
    "Access-Control-Allow-Credentials": [
        "false"
    ],
    "Access-Control-Allow-Expose-Headers": [
        "Content-Length",
        "Content-Type"
    ],
    "Access-Control-Allow-Headers": [
        "Authorization",
        "Content-Type"
    ],
    "Access-Control-Allow-Methods": [
        "GET",
        "POST"
    ],
    "Access-Control-Allow-Origin": [
        "https://yourdomain.com"
    ],
    "Access-Control-Max-Age": [
        "86400"
    ]
}

总结

在生产环境中，实施严格的CORS策略可以有效减少API的攻击面，防止不受信任的来源访问您的服务。根据您的具体需求，您可以灵活调整这些设置以确保既能提供必要的功能，又能最大限度地保证安全性。

在这个数字身份至关重要的时代，一个革命性的WordPress插件诞生了 – WP-WebAuthn。这个插件不仅仅是对传统密码登录的简单替代，更是对整个WordPress安全生态系统的一次彻底重塑。让我们一起深入探讨这个令人兴奋的插件，看看它将如何改变我们的WordPress使用体验。

🌟 WP-WebAuthn：安全与便捷的完美结合

WP-WebAuthn是一个专为WordPress设计的插件，它利用最新的WebAuthn技术，让用户可以通过U2F/FIDO2设备安全地登录WordPress账户，而无需输入传统的密码。想象一下，只需轻轻触摸你的指纹传感器，或者看一眼摄像头，就能登录你的WordPress网站，是不是很神奇？

WebAuthn技术简介

WebAuthn（Web Authentication）是新一代的网络认证标准，旨在通过以下方式替代传统密码：

• USB认证器
• 指纹识别
• Windows Hello
• FaceID/TouchID

这项技术于2019年3月成为W3C推荐标准，它允许Web应用创建和使用强大的、经过验证的、基于公钥的凭证，通过硬件认证器对用户进行安全的认证。WebAuthn的核心优势在于其对安全性和隐私的高度重视，它提供了一种无需传输任何隐私数据即可进行安全认证的可能性。

💻 WP-WebAuthn的主要特性

1. 无密码登录：用户只需点击一次按钮并在认证器上执行简单的认证操作，即可在数秒内完成登录，完全不需要记忆和输入复杂的密码。
2. 支持多种认证方式：兼容各种U2F/FIDO2设备，包括USB安全密钥、指纹识别器、Windows Hello等。
3. 无用户名登录：除了无密码登录，WP-WebAuthn还支持无用户名登录，进一步简化了登录流程。
4. 前端集成：提供4个短代码和4个对应的Gutenberg区块，允许在前端页面中插入认证器注册表单等组件，增强用户体验。
5. 高度安全：利用WebAuthn的公钥加密技术，大大提高了账户的安全性，有效防止密码泄露和钓鱼攻击。

🛠️ 安装与使用

安装WP-WebAuthn非常简单，但需要注意以下前提条件：

• 需要安装PHP扩展gmp和mbstring
• WordPress版本要求5.0+

安装步骤：

1. 从GitHub releases页面下载最新版本的插件ZIP文件。
2. 在WordPress后台导航到”插件” > “添加新插件”，然后点击”上传插件”。
3. 选择下载的ZIP文件并安装。
4. 激活插件后，在设置页面进行配置。

或者，你也可以直接在WordPress插件目录中搜索”WP-WebAuthn”进行安装。

🌈 使用场景

1. 企业网站：为员工提供更安全、更便捷的WordPress后台登录方式。
2. 电子商务网站：增强用户账户安全，提高客户信任度。
3. 内容创作平台：为作者提供快速、安全的登录体验，提高工作效率。
4. 多作者博客：简化多个作者的登录流程，同时保证每个账户的安全。

🚀 未来展望

随着WebAuthn技术的不断发展和完善，我们可以期待WP-WebAuthn在未来带来更多创新功能：

1. 与其他WordPress插件的深度集成：例如，与会员管理、电子商务插件的无缝对接。
2. 更丰富的认证方式支持：随着生物识别技术的发展，可能会支持更多类型的生物特征认证。
3. 增强的数据分析功能：提供详细的登录统计和安全报告，帮助站点管理员更好地了解用户行为和潜在的安全风险。

结语

WP-WebAuthn代表了WordPress身份验证的未来。它不仅提高了安全性，还大大改善了用户体验。通过简单的安装和配置，WordPress站点管理员就可以为用户提供一种更安全、更便捷的登录方式。

随着越来越多的WordPress网站采用这一技术，我们正在见证一个无密码的WordPress时代的到来。让我们共同期待和拥抱这个由WP-WebAuthn带来的美好变革，共创一个更加安全、便捷的WordPress生态系统！

参考文献：

1. WP-WebAuthn GitHub仓库：https://github.com/yrccondor/wp-webauthn
2. WebAuthn官方文档：https://www.w3.org/TR/webauthn-2/
3. WordPress插件目录：https://wordpress.org/plugins/wp-webauthn/
4. FIDO联盟：https://fidoalliance.org/
5. W3C Web认证工作组：https://www.w3.org/groups/wg/webauthn/

在这个数字身份至关重要的时代，我们终于迎来了一个革命性的身份验证标准 – WebAuthn API。这项技术不仅仅是对传统密码的简单替代，更是对整个网络安全生态系统的一次彻底重塑。让我们一起深入探讨这项令人兴奋的技术，看看它将如何改变我们的数字生活。

🌟 FIDO2与WebAuthn：解密身份验证的未来

FIDO联盟：安全标准的守护者

FIDO联盟成立于2013年，是一个致力于开发安全、开放、防钓鱼身份认证协议的国际联盟。目前，FIDO联盟已拥有300多个全球成员，开发了三个主要协议：UAF、U2F和FIDO2。这些协议都基于相同的核心原则：基于源的、挑战-响应式的、防钓鱼的数字签名认证。

FIDO2：WebAuthn的基石

FIDO2是最新、最先进的FIDO协议，它包含两个核心规范：

1. WebAuthn（Web Authentication）：定义了客户端API。
2. CTAP（Client to Authenticator Protocol）：定义了认证器API。

这两个规范共同构成了FIDO2的完整生态系统。

// WebAuthn API示例
navigator.credentials.create({
  publicKey: {
    challenge: new Uint8Array([...]), // 服务器生成的随机挑战
    rp: { name: "示例公司" },
    user: {
      id: Uint8Array.from("用户ID", c => c.charCodeAt(0)),
      name: "user@example.com",
      displayName: "张三"
    },
    pubKeyCredParams: [{ type: "public-key", alg: -7 }]
  }
});

这段代码展示了如何使用WebAuthn API创建新的公钥凭证，这是FIDO2认证过程的第一步。

🛡️ WebAuthn的工作原理：安全的艺术

WebAuthn的工作流程可以分为两个主要阶段：注册和认证。

注册阶段：创建数字身份

1. 服务器生成挑战并发送给客户端。
2. 客户端调用WebAuthn API，请求创建新凭证。
3. 用户选择认证器（如指纹传感器或USB安全密钥）。
4. 认证器生成公私钥对，私钥安全存储。
5. 公钥和其他信息返回给服务器存储。

认证阶段：证明你是你

1. 服务器生成新的挑战，发送给客户端。
2. 客户端调用WebAuthn API进行身份验证。
3. 用户通过之前注册的认证器进行验证（如触摸指纹传感器）。
4. 认证器使用私钥签名挑战。
5. 签名结果返回给服务器验证。

这个过程不仅安全，而且对用户来说非常简单直观。想象一下，只需轻轻触摸你的手机或笔记本电脑，就能安全地登录任何网站，再也不用记住复杂的密码了。

🌈 WebAuthn的多种应用场景

WebAuthn的灵活性使其能够适应各种不同的应用场景：

1. 简单而安全的双因素认证

对于那些希望增加额外安全层但又不想完全抛弃密码的网站，WebAuthn提供了完美的双因素认证解决方案。

// 双因素认证示例
navigator.credentials.get({
  publicKey: {
    challenge: new Uint8Array([...]),
    rpId: "example.com",
    allowCredentials: [{
      type: "public-key",
      id: new Uint8Array([...]) // 之前注册的凭证ID
    }],
  }
});

2. 银行级别的安全性：设备认证

对于需要更高安全级别的场景，如银行和金融机构，WebAuthn支持设备认证，允许服务器验证用户使用的是经过认证的安全设备。

3. 无密码认证：安全与便利的完美结合

WebAuthn的终极目标是完全消除密码。通过强制用户验证（如生物识别），我们可以实现真正的无密码认证，既安全又方便。

// 无密码认证示例
navigator.credentials.create({
  publicKey: {
    // ... 其他参数
    authenticatorSelection: {
      userVerification: "required"
    }
  }
});

4. 平台认证器：利用设备内置安全功能

现代操作系统（如Android、iOS、Windows和macOS）都内置了FIDO2兼容的认证器。这意味着用户可以直接使用他们的设备进行安全认证，无需额外的硬件。

5. 可发现凭证：超越用户名

通过可发现凭证（Discoverable Credentials），我们甚至可以消除用户名输入的需求。用户只需点击一个按钮，就能完成整个认证过程。

// 可发现凭证示例
navigator.credentials.create({
  publicKey: {
    // ... 其他参数
    authenticatorSelection: {
      requireResidentKey: true
    }
  }
});

🚀 WebAuthn的未来：更安全、更便捷的数字世界

WebAuthn技术正在快速发展，未来我们可能会看到：

1. 生物识别技术的进步：更先进、更安全的生物识别方法，如虹膜扫描或心跳识别。
2. 人工智能集成：AI可能被用来增强认证过程，识别异常行为模式。
3. 量子安全：随着量子计算的发展，WebAuthn可能会采用量子安全的加密算法。
4. 去中心化身份：结合区块链技术，创造真正去中心化的数字身份系统。
5. 物联网集成：WebAuthn可能成为物联网设备安全认证的标准。

结语

WebAuthn API的出现标志着我们正在进入一个新的网络安全时代。它不仅仅是一项技术标准，更是一种新的数字生活方式。在这个万物互联的时代，WebAuthn为我们的数字身份提供了一把坚固可靠的钥匙，让我们能够更加安心地探索数字世界的无限可能。

随着技术的不断发展和完善，我们可以期待看到更多创新的应用场景。也许在不久的将来，我们将彻底告别密码，迎来一个更安全、更便捷的数字世界。让我们共同期待和拥抱这个由WebAuthn带来的美好未来！

参考文献：

1. W3C. (2021). Web Authentication: An API for accessing Public Key Credentials – Level 2.✅
2. FIDO Alliance. (2021). FIDO2: WebAuthn & CTAP.
3. Ackermann, Y. (2019). Introduction to WebAuthn API and Passkey. Medium.✅
4. Mozilla Developer Network. (2021). Web Authentication API.
5. Google. (2021). Enabling Strong Authentication with WebAuthn.

https://ipfs.io/ipfs/Qmd4RqQBnDqdZqq56GamqzNdyTYMZ23pZ5GAonWd9zC21L?filename=WebAuthn%20101%EF%BC%9A%E5%AE%9A%E4%B9%89%EF%BC%8C%E5%B7%A5%E4%BD%9C%E5%8E%9F%E7%90%86%E5%92%8C%E5%A5%BD%E5%A4%84.pdf

在这个数字身份至关重要的时代，Web Authentication (WebAuthn) Level 2规范的发布无疑是一个里程碑式的事件。这份由W3C正式推荐的文档，不仅代表了网络安全领域的最新进展，更是未来网络身份认证的指路明灯。让我们一起深入探讨这个革命性的标准，看看它将如何重塑我们的数字世界。

🎯 目标与愿景：告别密码时代

想象一下，在不久的将来，你再也不需要记住那些复杂的密码，只需轻轻一按指纹，或是看一眼摄像头，就能安全地登录所有网站。这正是WebAuthn Level 2规范的终极目标 —— 创造一个更安全、更便捷的网络世界。

这份规范定义了一套API，允许网络应用创建和使用强大的、经过认证的、基于公钥的凭证来安全地验证用户身份。就像是给每个用户配备了一把独一无二的数字钥匙，既安全又方便。

🔑 核心组件：认证的幕后英雄

WebAuthn的核心由两个主要组件构成：

1. PublicKeyCredential：这是整个系统的基石，它扩展了现有的凭证管理API。想象它是一个超级智能的钥匙链，不仅能存储你的”钥匙”，还能帮你管理它们。
2. 认证器：这些可以是内置在你设备中的硬件（如指纹传感器），也可以是外部设备（如USB安全密钥）。它们就像是现实世界中的保险箱，安全地存储和管理你的数字身份。

// 创建新的凭证
navigator.credentials.create({
  publicKey: {
    challenge: new Uint8Array([/* 随机数据 */]),
    rp: { name: "示例网站" },
    user: {
      id: Uint8Array.from("用户ID", c => c.charCodeAt(0)),
      name: "user@example.com",
      displayName: "张三"
    },
    pubKeyCredParams: [{ type: "public-key", alg: -7 }]
  }
});

这段代码展示了如何创建一个新的公钥凭证。它就像是在数字世界里为用户铸造了一把独特的钥匙。

🌈 应用场景：安全无处不在

WebAuthn的应用范围之广，令人惊叹：

• 日常登录：想象你只需轻轻触摸手机，就能登录所有社交媒体和电子邮件。
• 金融交易：银行和支付平台可以使用WebAuthn来确保每一笔交易的安全。
• 企业安全：公司可以为员工提供无缝且高度安全的系统访问方式。
• 物联网：在智能家居领域，WebAuthn可以确保只有授权用户才能控制设备。

🛡️ 安全与隐私：固若金汤

WebAuthn在设计之初就将安全和隐私放在首位：

1. 范围限定：每个凭证都与特定的网站绑定，就像每把钥匙只能开一扇门，大大降低了被滥用的风险。
2. 用户同意：任何操作都需要用户明确授权，就像是在每次使用钥匙时都需要输入密码。
3. 隐私保护：规范确保不同网站之间的凭证是相互隔离的，防止跨站跟踪。
4. 抗篡改：通过复杂的加密技术，确保凭证无法被伪造或篡改。

// 验证用户身份
navigator.credentials.get({
  publicKey: {
    challenge: new Uint8Array([/* 新的随机数据 */]),
    rpId: "example.com",
    allowCredentials: [{
      type: "public-key",
      id: new Uint8Array([/* 之前注册的凭证ID */])
    }],
  }
});

这段代码展示了如何使用WebAuthn进行身份验证。它就像是在数字世界里检查钥匙的真伪，确保只有真正的钥匙持有者才能进入。

🌍 全球化和无障碍：人人适用

WebAuthn不仅仅是一项技术标准，它还考虑到了全球用户的需求：

• 国际化：支持多种语言和文化背景，确保全球用户都能轻松使用。
• 无障碍设计：考虑到不同能力的用户，确保所有人都能享受到安全便捷的身份认证。

🚀 未来展望：无限可能

WebAuthn Level 2规范的发布只是开始。随着技术的不断发展，我们可能会看到：

1. 生物识别技术的进步：未来可能会出现更先进的生物识别方法，如虹膜扫描或心跳识别。
2. 与人工智能的结合：AI可能会被用来增强认证过程，识别异常行为模式。
3. 量子加密：随着量子计算的发展，WebAuthn可能会采用量子安全的加密算法。
4. 去中心化身份：WebAuthn可能会与区块链技术结合，创造真正去中心化的数字身份系统。

结语

WebAuthn Level 2规范的发布，标志着我们正在进入一个新的网络安全时代。它不仅仅是一项技术标准，更是一种新的数字生活方式。在这个万物互联的时代，WebAuthn为我们的数字身份提供了一把坚固可靠的钥匙，让我们能够更加安心地探索数字世界的无限可能。

让我们携手迎接这个更安全、更便捷的数字未来。在WebAuthn的庇护下，我们的数字生活将变得更加丰富多彩，而不必担心安全威胁。这不仅是技术的进步，更是人类数字文明的一大飞跃！

参考文献：

1. W3C. (2021). Web Authentication: An API for accessing Public Key Credentials – Level 2.✅
2. Hodges, J. , Jones, M. B., & Mandyam, G. (2019). Web Authentication: An API for accessing Public Key Credentials Level 1.✅
3. FIDO Alliance. (2021). FIDO2: WebAuthn & CTAP.
4. Balfanz, D. , et al. (2019). Web Authentication: An API for accessing Public Key Credentials Level 1.✅
5. Google. (2021). Enabling Strong Authentication with WebAuthn.

在这个数字化时代,密码已成为我们日常生活中不可或缺的一部分。然而,记住并安全存储众多密码对用户来说是一个不小的挑战。想象一下,如果登录变得更简单、更安全,那该有多好?这就是WebAuthn(Web Authentication API)的愿景 – 一个无需密码的未来。

🤔 什么是WebAuthn?

WebAuthn是由万维网联盟(W3C. 与FIDO(快速身份在线)联盟合作开发的Web标准,旨在为Web应用程序提供安全且无密码的身份验证。它的核心目标是解决传统密码认证方式的主要缺陷。✅

WebAuthn由三个关键组件组成:

1. 依赖方(Relying Party):请求用户身份验证的在线服务或应用程序。
2. WebAuthn客户端:作为用户和依赖方之间的中介,通常嵌入支持WebAuthn的Web浏览器或移动应用程序中。
3. 认证器(Authenticator):用于验证用户身份的设备或方法,如指纹扫描仪、面部识别系统或硬件安全密钥。

🔍 WebAuthn如何工作?

让我们通过一个简单的比喻来理解WebAuthn的工作原理:

想象你正在入住一家高级酒店。在传统的密码系统中,前台会给你一个房间号和一个密码。每次你想进入房间时,都需要输入这个密码。这个过程不仅繁琐,而且容易出错或被他人窃听。

相比之下,WebAuthn就像是一个更智能、更安全的酒店系统:

1. 注册过程:
   当你第一次到达酒店时(注册网站),前台会记录你的生物特征(如指纹或面部识别)。这相当于生成了一对密钥 – 公钥存储在酒店的系统中,私钥安全地存储在你的智能手机中。
2. 认证过程:
   之后每次你想进入房间时,只需将手机靠近房门(访问网站)。房门会向你的手机发送一个独特的挑战(challenge)。你的手机使用存储的私钥对这个挑战进行签名,然后将签名发送回房门。房门验证签名是否与存储的公钥匹配。如果匹配成功,门就会打开,让你进入房间。

这个过程不仅更加便捷(无需记忆复杂的密码),而且更加安全。即使有人截获了你手机发送的签名,他们也无法复制你的私钥来伪造身份。

💻 实现WebAuthn无密码登录

为了更好地理解WebAuthn的实际应用,让我们一步步实现一个简单的无密码登录系统。我们将使用Node.js和Express.js构建后端,并使用基本的HTML和JavaScript创建前端界面。

项目设置

首先,我们需要设置项目环境:

git clone https://github.com/josephden16/webauthn-demo.git
cd webauthn-demo
git checkout start-here
npm install

创建一个.env文件并设置必要的环境变量:

PORT=8000
MONGODB_URL=<你的MongoDB连接字符串>

创建登录和注册表单

在public/index.html文件中,我们创建了一个简单的表单,用于用户注册和登录:

<!DOCTYPE html>
<html lang="en">
<head>
  <!-- 头部代码省略 -->
</head>
<body class="font-inter min-h-screen flex flex-col items-center p-24">
  <h1 class="font-bold text-3xl mb-10">WebAuthn演示</h1>
  <div id="content">
    <!-- 表单代码省略 -->
  </div>
  <script src="script.js"></script>
</body>
</html>

实现注册功能

在script.js文件中,我们添加了处理注册的函数:

async function handleRegister(evt) {
  // 注册逻辑代码
}

这个函数首先获取用户输入的用户名,然后向服务器请求注册选项。收到选项后,它使用startRegistration方法启动注册过程。如果注册成功,它会向服务器发送验证请求。

构建注册API端点

在服务器端,我们创建了两个API端点来处理注册过程:

router.get("/register/start", generateRegistrationOptionsCtrl);
router.post("/register/verify", verifyRegistrationCtrl);

generateRegistrationOptionsCtrl函数生成注册选项:

export const generateRegistrationOptionsCtrl = async (req, res) => {
  // 生成注册选项的逻辑
};

verifyRegistrationCtrl函数验证注册响应:

export const verifyRegistrationCtrl = async (req, res) => {
  // 验证注册响应的逻辑
};

实现登录功能

登录过程与注册类似。我们在script.js中添加了处理登录的函数:

async function handleLogin(evt) {
  // 登录逻辑代码
}

同样,我们在服务器端创建了相应的API端点:

router.get("/login/start", generateAuthenticationOptionsCtrl);
router.post("/login/verify", verifyAuthenticationCtrl);

这些函数分别负责生成身份验证选项和验证身份验证响应。

🌟 WebAuthn的优势与局限性

优势

1. 更高的安全性: WebAuthn利用公钥加密技术,有效降低了密码泄露和钓鱼攻击的风险。
2. 更好的用户体验: 用户无需记忆复杂的密码,可以使用生物特征或物理安全密钥进行快速认证。
3. 跨平台兼容性: 大多数现代Web浏览器和平台都支持WebAuthn,确保了一致的用户体验。

局限性

1. 技术复杂性: 对于拥有复杂或遗留系统的组织来说,整合WebAuthn可能具有技术挑战。
2. 用户教育: 用户可能需要时间适应这种新的认证方式,可能需要额外的教育资源。
3. 设备依赖: WebAuthn依赖于用户设备的硬件能力,这可能会限制某些老旧设备的使用。

🎯 结语

WebAuthn代表了认证技术的一次重大飞跃,为我们带来了一个更安全、更便捷的无密码未来。虽然它还面临一些挑战,但随着技术的不断发展和用户意识的提高,WebAuthn有望成为未来身份验证的主流标准。

通过本文的实践,我们不仅了解了WebAuthn的工作原理,还亲身体验了如何在Web应用中实现这一创新技术。随着越来越多的网站和应用采用WebAuthn,我们离告别传统密码的日子越来越近了。

让我们共同期待一个更安全、更便捷的数字世界!

参考文献

1. W3C. (2021). Web Authentication: An API for accessing Public Key Credentials.✅
2. FIDO Alliance. (2022). FIDO2: Moving the World Beyond Passwords.
3. Mozilla Developer Network. (2023). Web Authentication API.
4. Duong, T. , & Rizzo, J. (2023). The BEAST attack on TLS.✅
5. Bonneau, J. , et al. (2022). The Quest to Replace Passwords: A Framework for Comparative Evaluation of Web Authentication Schemes.✅

在这个数字化和信息高度互联的时代，密码的安全性和便捷性一直是一个备受关注的话题。随着网络钓鱼（phishing）攻击的日益猖獗，传统的密码验证方式显得越来越脆弱。为了解决这个问题，FIDO（快速身份在线）联盟推出了一系列新兴的身份验证标准，其中最具代表性的是 WebAuthn 和 FIDO2。这篇文章将深入探讨 WebAuthn API 和无密码身份验证的原理与应用，帮助我们更好地理解未来的安全身份验证方式。

🔐 什么是 FIDO 和 FIDO2？

FIDO 联盟成立于 2013 年，旨在开发安全、开放、标准化的防网络钓鱼身份验证协议。FIDO 的三个主要协议包括 UAF（通用身份验证框架）、U2F. ��通用第二因素）和 FIDO2。FIDO2 是其最新的标准，专注于无密码身份验证。✅

FIDO2 由两部分组成：WebAuthn（客户端 API）和 CTAP（客户端到身份验证器协议）。WebAuthn 使开发者能够通过 JavaScript 创建和管理公钥凭证，而 CTAP 则负责与身份验证器之间的低级别通信。

🔄 FIDO 的工作原理

FIDO 协议的核心是基于挑战-响应机制的身份验证流程。服务器向客户端发送一个挑战（challenge）和凭证标识符。客户端将这些信息发送给身份验证器，身份验证器会要求用户进行验证（如输入 PIN 或使用生物识别技术）。验证通过后，身份验证器使用私钥对数据进行签名，并将结果返回给客户端，最终客户端将其传递给服务器进行验证。

这种机制确保了用户的凭证始终存储在本地设备上，避免了凭证泄露的风险。此外，挑战-响应机制有效地防止了中间人攻击（MITM）。

📜 WebAuthn API 的核心操作

WebAuthn API 提供了两个基本操作：navigator.credentials.create 和 navigator.credentials.get。前者用于创建新的凭证，而后者用于获取已注册凭证的验证。

创建凭证

当用户需要注册新账户时，开发者调用 navigator.credentials.create 方法。此方法需要一个包含多种参数的对象，例如：

• challenge：由服务器生成的随机挑战，用于防止重放攻击。
• rp：有关依赖方的信息，例如名称和标识符。
• user：用户的相关信息，包括唯一标识符和用户名。
• pubKeyCredParams：服务器支持的签名算法列表。

通过这些参数，WebAuthn API 将生成新的凭证，并在身份验证器上进行存储。

获取凭证

在用户进行身份验证时，开发者调用 navigator.credentials.get 方法。此方法同样需要一个对象，其中包括：

• challenge：与注册阶段相同的挑战。
• allowCredentials：已注册凭证的标识符列表。

如果身份验证器能够识别凭证，用户将被提示进行验证，验证通过后，返回的结果将包含身份验证信息。

🛡️ 无密码身份验证的优势

无密码身份验证的最大优势在于消除了密码本身的使用。这意味着用户不再需要记住复杂的密码，也不必担心密码被盗或泄露。以下是无密码身份验证的一些主要优点：

1. 提高安全性：由于没有密码被发送或存储在服务器上，攻击者无法通过网络钓鱼等手段获取用户凭证。
2. 用户体验：用户只需进行简单的生物识别验证或 PIN 输入，显著提高了登录的便捷性。
3. 降低维护成本：企业不再需要承担密码重置和管理的相关成本。

🚀 应用场景与未来展望

WebAuthn 和无密码身份验证在许多场景下都有广泛的应用潜力。例如，电子商务、金融服务以及社交媒体等领域都可以利用这一技术来提高安全性和用户体验。

未来，随着支持 WebAuthn 的平台和设备不断增加，预计无密码身份验证将会成为主流。开发者将能够更方便地集成这一技术，用户的身份验证过程也将变得更加安全和高效。

📚 参考文献

1. FIDO Alliance. (2019). FIDO2 Overview. FIDO Alliance
2. WebAuthn Specification. (2021). W3C
3. Ackermann, Y. (2019). Introduction to WebAuthn API and Passkey. ✅Medium
4. Kitamura, E. (2019). Sign-in on the Web — Credential Management API and Best Practices. ✅Medium
5. Demystifying attestation and MDS. Medium

在面向对象设计中，里氏替换原则（Liskov Substitution Principle, LSP）是一个至关重要的原则。它规定：在程序设计中，一个子类的对象应该能够替换掉其父类的对象，并且不会影响程序的正确性。这一原则确保了继承的合理性和代码的健壮性。接下来，我们将通过分段讲解，深入理解这个原则的核心。

1. 继承的本质

继承是面向对象编程的基础之一。继承不仅意味着子类继承父类的属性和方法，还意味着子类应该能够在其父类的基础上进行扩展，而不会破坏父类原有的功能。打个比方，父类是一个基础的“模具”，子类是根据这个模具加工而来的成品，成品不仅拥有模具的基本形态，还可能增加了新的功能或特性。

速记句：继承是扩展功能，而不是破坏功能。

2. 里氏替换原则的核心

里氏替换原则的核心在于确保子类对象能够替换父类对象，而不影响程序的正常运行。这意味着，如果你在代码中用父类对象调用某个方法，那么子类对象也应该能够同样调用这个方法，并且产生预期的结果。

速记句：子类能替父类，功能不打折。

3. 示例

显示内容

解析：银行账户模型