WebAuthn是人们向Web应用程序身份验证的一种新方式。这是正在形成的广泛支持的标准年份。所有主要浏览器都与它一起工作，这使得开发人员可以轻松地将WebAuthn集成到网站中。
WebAuthn，通常称为“passkeys”，允许用户通过简单的浏览器原生用户体验来利用生物识别方法的力量。
我夸大了什么吗？WebAuthn真的是全部吗？
继续阅读，自己决定。
什么是WebAuthn？
WebAuthn是用户对浏览器中运行的应用程序进行身份验证的一种方式。就像用户名和密码一样，WebAuthn提供凭据，但它用不同的方法识别人。WebAuthn需要一种称为“身份验证器”的特殊硬件或软件。
WebAuthn消除了应用程序或用户商店保存散列密码等私有价值数据的必要性。相反，应用程序存储一个公钥。相应的私钥由每个用户的身份验证器安全地持有。
身份验证器支持的不对称密钥类型、公钥如何分发到web应用程序以及密钥对如何用于验证用户，所有这些都由WebAuthn和相关标准指定。
为什么要考虑WebAuthn？
让我们浏览一个场景来说明WebAuthn的价值。假设你经营着一个销售小丑服装的网站（这是下一次休闲迭代，除了不是排汗面料，而是小丑鼻子和大假发）。您已将这项业务命名为“Cosmo的小丑店”。您希望客户和潜在客户登录，以便完成典型的购物任务，例如优惠商品和下订单。
这个网站是针对普通人，因为极客和小丑服装市场之间没有太多的交叉点，所以你想让登录变得容易。
然而，它也是一家电子商务公司。如果某人的凭证被盗，他们可能会被非法信用卡交易所困扰，您的品牌将受到影响。您需要平衡身份验证安全性和简单的用户体验。
在进行研究时，你会遇到几种选择。你想知道“我为什么要选择实施WebAuthn？当前的凭证解决方案不是很好吗？”
当前选项有什么问题
让我们简要介绍一下保护客户帐户的常见解决方案：
密码
密码管理器
多因素身份验证（MFA）
密码是一种众所周知的技术。他们自20世纪60年代以来一直存在，并具有大多数用户都能很好地理解的优点。用户记住用户名和密码对，并在身份验证过程中向应用程序提供这些用户名和密码对，以证明他们是谁。然而，密码具有内在的张力。对于每个用户，他们必须选择一个令人难忘但难以猜测的密码。这是一个困难的平衡。
还有一个事实是，许多密码被盗，并掌握在滥用密码的人手中。Have I Been Pwned拥有超过110亿个帐户（即用户名和密码组合）。如果用户没有在不同的应用程序和网站上重用密码，这不会是这样的问题。但既然他们这样做了，用户名和密码并不能满足Cosmo的小丑商店的需求。
接下来，考虑密码管理器。这些内置在现代浏览器中。还有第三方产品，如1Password和LastPass。如果您使用前者，密码在不同系统之间不容易携带。非标准登录表单也存在用户体验问题。如果您使用后者，存储密码散列的中央服务器是一个非常有价值的目标。最后，作为一个网络应用程序，你不能强迫用户使用密码管理器；充其量你可以强烈建议它。鉴于您所针对的热爱小丑服装的受众，这意味着Cosmo的小丑商店也将传递此选项。
最后，身份验证或MFA的其他因素是提高帐户安全性的常见方法。当需要设备提供基于时间的代码或其他额外的身份验证因素时，您的用户帐户更安全。但您的用户对这种体验是否接受？提供额外因素所涉及的摩擦可能会导致问题。请记住，你不想妨碍客户登录；否则你将无法向他们出售他们如此渴望的红色小丑鼻子。
所有这些选项都是可行的，但没有一个是好的。相比之下，WebAuthn改善了登录期间的安全性和用户体验。
WebAuthn的基础知识
有四个实体在WebAuthn身份验证事件期间进行交互。以下是玩家的图表：
这四个实体是：
用户（黄色笑脸）
身份验证器（橙色盒子）
浏览器（白色地球仪）
网站（蓝框）
当用户尝试通过WebAuthn登录时，通信从网站到浏览器再到身份验证器再到用户（图表所示），然后备份链条。
WebAuthn本身毫无用处。WebAuthn标准化了浏览器和网站之间的通信。有一个名为CTAP2的相关标准，它指定了浏览器和身份验证器之间的通信。
WebAuthn和CTAP2共同构成了一个名为FIDO2的标准。
