Web身份验证:
访问公钥凭证的API
第二级

此 内部方法 接受三个参数：

origin

此参数是相关设置对象的origin，由 调用create()实现决定。

options

此参数是一个 CredentialCreationOptions 对象，其 options.publicKey 成员包含一个 PublicKeyCredentialCreationOptions 对象，指定要创建的公钥凭证的期望属性。

sameOriginWithAncestors

此参数是一个布尔值，当且仅当调用者的环境设置对象与其祖先同源时为true。如果调用者是跨域的，则为false。

注意：此 内部方法的调用表明它已被权限策略允许，评估于[CREDENTIAL-MANAGEMENT-1]级别。 详见 § 5.9 权限策略集成。

注意： 此算法是同步的： Promise 的解决/拒绝由navigator.credentials.create()处理。

注意：此算法中使用的所有BufferSource 对象必须在算法开始时进行快照， 以避免潜在的同步问题。算法实现应获取缓冲源持有的字节的副本并在算法的相关部分中使用该副本。

当调用此方法时，用户代理必须执行以下算法：

1. 断言： options.publicKey 是存在的。

2. 如果sameOriginWithAncestors为false，则返回 "NotAllowedError" DOMException。

   注意：此"sameOriginWithAncestors"限制旨在解决在问题 #1336中提出的跟踪问题。此规范的未来版本可能会对此进行修订。

3. 让options为 options.publicKey 的值。

4. 如果 timeout 成员options存在，检查其值是否在客户端定义的合理范围内，如果不在，则将其调整为该范围内的最接近值。将计时器lifetimeTimer设置为此调整后的值。如果timeout 成员options不存在，则将lifetimeTimer设置为客户端特定的默认值。

   对于timeout 成员options的推荐范围和默认值如下： 如果 options.authenticatorSelection.userVerification

   设置为discouraged

   推荐范围：30000 毫秒到 180000 毫秒。

   推荐默认值：120000 毫秒（2 分钟）。

   设置为required 或preferred

   推荐范围：30000 毫秒到 600000 毫秒。

   推荐默认值：300000 毫秒（5 分钟）。

   注意：用户代理应在考虑具有特殊需求的用户的认知指南后再确定超时。

5. 如果 options.user.id 的长度不在 1 到 64 字节（含）之间，则返回 TypeError。

6. 设callerOrigin为origin。 如果callerOrigin是不透明的origin，则返回一个DOMException 其名称为 "NotAllowedError"， 并终止此算法。

7. 设effectiveDomain为callerOrigin的有效域名。 如果有效域名不是有效域名，则返回一个DOMException 其名称为 "SecurityError"， 并终止此算法。

   注意：一个有效域名可以解析为host，其表示形式多种多样， 如域名、IPv4 地址、 IPv6 地址、不透明的host或 空host。 此处仅允许域名格式的host。 这是为了简化，同时也 认识到使用直接IP地址识别与PKI-based安全结合使用的各种问题。

8. 如果 options.rp.id

   存在

   如果 options.rp.id 不是注册域名后缀或不等于effectiveDomain， 返回一个DOMException 其名称为"SecurityError"， 并终止此算法。

   不存在

   将 options.rp.id 设置为effectiveDomain。

   注意： options.rp.id 代表调用者的RP ID。RP ID默认情况下为调用者的origin的effective domain，除非调用者在调用create()时显式设置了 options.rp.id。

9. 让credTypesAndPubKeyAlgs为一个新的列表，其项为PublicKeyCredentialType 和 一个COSEAlgorithmIdentifier。

10. 如果 options.pubKeyCredParams的大小

    为零

    附加以下PublicKeyCredentialType 和COSEAlgorithmIdentifier对到credTypesAndPubKeyAlgs：

    • public-key 和-7 ("ES256")。

    • public-key 和-257 ("RS256")。

    非零

    对于每个current的 options.pubKeyCredParams：

    1. 如果 current.type 不包含此实现支持的PublicKeyCredentialType， 则继续。

    2. 设alg为 current.alg。

    3. 附加此对 current.type 和alg到credTypesAndPubKeyAlgs。

    如果credTypesAndPubKeyAlgs为空，则返回DOMException 其名称为 "NotSupportedError"， 并终止此算法。

11. 让clientExtensions为一个新的映射，让authenticatorExtensions为一个新的映射。

12. 如果options的extensions成员存在，则对于每个 extensionId → clientExtensionInput的 options.extensions：

    1. 如果extensionId不被此客户端平台支持或不是注册扩展，则继续。

    2. 设置 clientExtensions[extensionId] 为clientExtensionInput。

    3. 如果extensionId不是认证器扩展，则继续。

    4. 让authenticatorExtensionInput为运行extensionId的客户端扩展处理算法时的(CBOR)结果 在clientExtensionInput上。如果算法返回错误，则继续。

    5. 设置 authenticatorExtensions[extensionId] 为 authenticatorExtensionInput的base64url 编码。

13. 让collectedClientData为一个新的CollectedClientData实例，其字段为：

    type

    字符串 "webauthn.create"。

    challenge

    options的challenge的base64url 编码。

    origin

    callerOrigin的序列化。

    crossOrigin

    传递给此内部方法的sameOriginWithAncestors参数值的反转。

    tokenBinding

    客户端与callerOrigin之间令牌绑定的状态，及与callerOrigin相关联的令牌绑定ID，如果可用的话。

14. 让clientDataJSON为从collectedClientData构造的客户端数据的JSON兼容序列化。

15. 让clientDataHash为由clientDataJSON表示的客户端数据序列化后的哈希值。

16. 如果 options.signal 存在，并且其中止标志设置为true，则返回DOMException 其名称为"AbortError"， 并终止此算法。

17. 让issuedRequests为一个新的有序集合。

18. 让authenticators表示一个值，该值在任何给定时刻都是一个集合，其中每个项标识此客户端平台此时可用的认证器。

    注意： 什么使认证器被视为"可用"是有意未指定的；这是为了表示如何通过各种机制认证器可以热插拔到（例如，通过USB）或被客户端发现（例如，通过NFC或蓝牙），或永久内置于客户端中。

19. 启动lifetimeTimer。

20. 当lifetimeTimer未过期时，依据lifetimeTimer、 状态和响应对于每个 authenticator 在 authenticators 中执行以下操作：

    如果lifetimeTimer过期，

    对于每个authenticator在 issuedRequests 中调用authenticatorCancel操作，并移除authenticator从 issuedRequests中。

    如果用户行使用户代理用户界面选项来取消该过程，

    对于每个authenticator在 issuedRequests中调用authenticatorCancel操作，并移除authenticator从 issuedRequests中。返回一个DOMException 其名称为 "NotAllowedError"。

    如果 options.signal 存在并且其中止标志设置为true，

    对于每个authenticator在 issuedRequests中调用authenticatorCancel操作，并移除authenticator从 issuedRequests中。然后返回一个DOMException 其名称为"AbortError"， 并终止此算法。

    如果authenticator在此客户端设备上变得可用，

    注意：这包括lifetimeTimer启动时authenticator已经可用的情况。

    1. 此authenticator现在是候选认证器。

    2. 如果 options.authenticatorSelection 存在：

       1. 如果 options.authenticatorSelection.authenticatorAttachment 存在且其值不等于authenticator的认证器连接方式，继续。

       2. 如果 options.authenticatorSelection.residentKey

          存在并设置为required

          如果authenticator无法存储客户端可发现的公钥凭证源，继续。

          存在并设置为preferred 或discouraged

          无效。

          不存在

          如果 options.authenticatorSelection.requireResidentKey 设置为true，且authenticator无法存储客户端可发现的公钥凭证源，继续。

       3. 如果 options.authenticatorSelection.userVerification 设置为required 且authenticator无法执行用户验证，则继续。

    3. 让requireResidentKey成为有效的凭证创建的常驻密钥要求，作为一个布尔值，规则如下：

       如果 options.authenticatorSelection.residentKey

       存在并设置为required

       设requireResidentKey为true。

       存在并设置为preferred

       如果authenticator

       能够执行客户端凭证存储方式

       设requireResidentKey为true。

       无法执行客户端凭证存储方式，或客户端无法确定认证器能力，

       设requireResidentKey为false。

       存在并设置为discouraged

       设requireResidentKey为false。

       不存在

       设requireResidentKey为以下值： options.authenticatorSelection.requireResidentKey。

    4. 让userVerification成为有效的凭证创建的用户验证要求，作为一个布尔值，规则如下： 如果 options.authenticatorSelection.userVerification

       设置为required

       设userVerification为true。

       设置为preferred

       如果authenticator

       能够执行用户验证

       设userVerification为true。

       无法执行用户验证

       设userVerification为false。

       设置为discouraged

       设userVerification为false。

    5. 让enterpriseAttestationPossible成为一个布尔值，规则如下。 如果 options.attestation

       设置为enterprise

       设enterpriseAttestationPossible为true，如果用户代理希望支持企业证明对于 options.rp.id (参见步骤8，在上文中)。 否则设为false。

       否则

       设enterpriseAttestationPossible为false。

    6. 让excludeCredentialDescriptorList为一个新的列表。

    7. 对于每个凭证描述符C在 options.excludeCredentials中：

       1. 如果 C.transports 非空，并且 authenticator连接的传输方式不在C.transports中提到，客户端可继续。

          注意：如果客户端选择继续，这可能会导致意外注册多个凭证绑定到同一个认证器，如果 C.transports中的传输提示不准确。 例如，存储的传输提示可能会因为软件升级添加了新的连接选项而变得不准确。

       2. 否则，附加C到 excludeCredentialDescriptorList中。

       3. 在authenticator上调用authenticatorMakeCredential操作，并使用clientDataHash， options.rp， options.user， requireResidentKey， userVerification， credTypesAndPubKeyAlgs， excludeCredentialDescriptorList， enterpriseAttestationPossible， 以及authenticatorExtensions作为参数。

    8. 附加authenticator到 issuedRequests。

    如果authenticator在此客户端设备上不再可用，

    移除authenticator从 issuedRequests中。

    如果任何authenticator返回状态指示用户取消了操作，

    1. 移除authenticator从 issuedRequests中。

    2. 对于每个剩余的authenticator 在issuedRequests中调用authenticatorCancel操作，并移除它从issuedRequests中。

       注意：认证器可能会返回“用户取消了整个操作”的指示。 用户代理如何将此状态显示给用户是未指定的。

    如果任何authenticator返回的错误状态等同于"InvalidStateError"，

    1. 移除authenticator从 issuedRequests中。

    2. 对于每个剩余的authenticator 在issuedRequests中调用authenticatorCancel操作，并移除它从issuedRequests中。

    3. 返回一个DOMException 其名称为"InvalidStateError"， 并终止此算法。

    注意：此错误状态单独处理，因为authenticator仅在 excludeCredentialDescriptorList标识了一个凭证绑定到authenticator，且用户已同意该操作时才会返回。 鉴于这种明确的同意，允许Relying Party识别此情况是可以接受的。

    如果任何authenticator返回的错误状态不等同于"InvalidStateError"，

    移除authenticator从 issuedRequests中。

    注意：此情况并不意味着对该操作的用户同意， 因此错误的详细信息对Relying Party隐藏，以防止泄露可能识别用户的信息。 参见§ 14.5.1 注册仪式隐私以了解详细信息。

    如果任何authenticator指示成功，

    1. 移除authenticator从 issuedRequests中。此认证器现在是已选认证器。

    2. 让credentialCreationData为一个结构体， 其中的项为：

       attestationObjectResult

       其值为从成功的authenticatorMakeCredential 操作返回的字节。

       注意：此值为 attObj，如在§ 6.5.4 生成证明对象中定义。

       clientDataJSONResult

       其值为clientDataJSON的字节。

       attestationConveyancePreferenceOption

       其值为options的attestation的值。

       clientExtensionResults

       其值为一个AuthenticationExtensionsClientOutputs 对象，包含扩展标识符→客户端扩展输出 条目。条目是通过运行每个扩展的客户端扩展处理算法来创建客户端扩展输出，对于 options的extensions中的每个客户端扩展。

    3. 让constructCredentialAlg成为一个算法，该算法接受一个全局对象global， 其步骤为：

       1. 如果 credentialCreationData的attestationConveyancePreferenceOption的值为

          "none"

          用非识别版本替换可能唯一识别的信息：

          1. 如果AAGUID在证明的凭证数据中为16个零字节， credentialCreationData.attestationObjectResult.fmt 为"packed"，且"x5c"不存在于 credentialCreationData.attestationObjectResult 中，则正在使用自我证明且无需进一步操作。

          2. 否则

             1. 将AAGUID在证明的凭证数据中替换为16个零字节。

             2. 将 credentialCreationData的attestationObjectResult.fmt 设置为"none"，并将 credentialCreationData的attestationObjectResult.attStmt 设置为空的CBOR 映射。 (参见§ 8.7 无证明声明格式和§ 6.5.4 生成证明对象)。

          "indirect"

          客户端可选择用更隐私友好和/或更易验证的版本替换AAGUID和证明声明 (例如，通过使用匿名化CA)。

          "direct"或"enterprise"

          将认证器的AAGUID和证明声明未修改地传递给Relying Party。

       2. 让attestationObject为一个新的ArrayBuffer， 使用global的%ArrayBuffer%创建， 包含 credentialCreationData的attestationObjectResult的值的字节。

       3. 让id为 attestationObject.authData.attestedCredentialData.credentialId。

       4. 让pubKeyCred为一个新的PublicKeyCredential 对象，与global相关联，其字段为：

          [[identifier]]

          id

          response

          一个新的AuthenticatorAttestationResponse 对象，与global相关联，其字段为：

          clientDataJSON

          一个新的ArrayBuffer， 使用global的%ArrayBuffer%创建， 包含 credentialCreationData的clientDataJSONResult的字节。

          attestationObject

          attestationObject

          [[transports]]

          一个或多个唯一的DOMString的序列， 按字典序排列，authenticator被认为支持这些值。 值应该是AuthenticatorTransport的成员， 但客户端平台必须忽略未知的值。

          如果用户代理不希望透露此信息，则可以用设计用来保护隐私的任意序列代替。此序列仍必须有效，即按字典顺序排列且不重复。例如，它可以使用空序列。无论哪种方式，在这种情况下，用户代理需要承担Relying Party行为可能不理想的风险。

          如果用户代理没有任何传输信息，它应将此字段设置为空序列。

          注意：用户代理如何发现给定authenticator支持的传输方式超出了本规范的范围，但可能包括来自证明证书的信息(例如[FIDO-Transports-Ext])， 通过authenticator协议(如CTAP2)通信的元数据，或关于平台认证器的特例知识。

          [[clientExtensionsResults]]

          一个新的ArrayBuffer， 使用global的%ArrayBuffer%创建， 包含 credentialCreationData的clientExtensionResults的字节。

       5. 返回pubKeyCred。

    4. 对于每个剩余的authenticator 在issuedRequests中调用authenticatorCancel操作，并移除它从issuedRequests中。

    5. 返回constructCredentialAlg并终止此算法。

21. 返回一个DOMException 其名称为"NotAllowedError"。 为了防止在没有用户同意的情况下泄露可能识别用户的信息， 此步骤必须在lifetimeTimer过期之前不执行。 参见§ 14.5.1 注册仪式隐私了解详细信息。

在上述过程中，用户代理应向用户展示一些UI，以指导他们选择和授权认证器的过程。

这个 内部方法接受三个参数：

origin

这个参数是相关设置对象的origin，由调用的get() 实现决定，即CredentialsContainer的 请求Credential抽象操作。

options

这个参数是一个 CredentialRequestOptions 对象，其中 options.publicKey 成员包含一个 PublicKeyCredentialRequestOptions 对象，指定要发现的 公钥凭证的期望属性。

sameOriginWithAncestors

这个参数是一个布尔值，当且仅当调用者的环境设置对象与其祖先同源时，它为true。如果调用者是跨源的，则它为false。

注意： 调用这个 内部方法 表明它已被权限策略允许，该策略在 [CREDENTIAL-MANAGEMENT-1] 级别进行评估。 参见§ 5.9 权限策略集成。

注意： 该算法是同步的： Promise 的解决/拒绝由navigator.credentials.get() 处理。

注意： 在此算法中使用的所有 BufferSource 对象必须在算法开始时进行快照，以避免潜在的同步问题。算法实现应获取缓冲区源所持有的字节的副本并在算法的相关部分使用该副本。

调用此方法时，用户代理必须执行以下算法：

1. 断言： options.publicKey 已存在。

2. 令 options 为 options.publicKey 的值。

3. 如果 timeout 成员出现在 options 中，检查其值是否在由 客户端定义的合理范围内，如果不在该范围内，将其校正为位于该范围内的最接近值。 将计时器 lifetimeTimer 设置为此调整后的值。如果 timeout 成员未出现在 options 中，则将 lifetimeTimer 设置为 客户端特定的默认值。

   timeout 成员的推荐范围和默认值如下。 如果 options.userVerification

   设置为discouraged

   推荐范围：30000 毫秒到 180000 毫秒。

   推荐默认值：120000 毫秒（2 分钟）。

   设置为 required 或 preferred

   推荐范围：30000 毫秒到 600000 毫秒。

   推荐默认值：300000 毫秒（5 分钟）。

   注意： 用户代理应考虑认知指南，针对有特殊需求的用户设置超时时间。

4. 令 callerOrigin 为 origin。 如果 callerOrigin 是一个不透明的 origin，则返回 DOMException， 其名称为 "NotAllowedError"， 并终止此算法。

5. 令 effectiveDomain 为 callerOrigin 的 有效域。 如果 有效域 不是一个有效域，则返回 DOMException ，其名称为 "SecurityError" 并终止此算法。

   注意： 有效域可能解析为一个host，它可以通过各种方式表示，如 域、ipv4 地址、ipv6 地址、不透明的 host、 或空的 host。 这里只允许 域 格式的 host。 这是为了简化操作，并且也认识到使用基于 PKI 的安全性与直接 IP 地址识别的各种问题。

6. 如果 options.rpId 未出现，则将 rpId 设置为 effectiveDomain。

   否则：

   1. 如果 options.rpId 不是 effectiveDomain 的可注册域后缀或与其相等，则返回 DOMException， 其名称为 "SecurityError"， 并终止此算法。

   2. 将 rpId 设置为 options.rpId 的值。

      注意： rpId 表示调用者的 RP ID。RP ID 默认是调用者的 origin 的有效域，除非调用者在调用get()时显式设置了 options.rpId。

7. 令 clientExtensions 为一个新的 映射，并且 令 authenticatorExtensions 为一个新的 映射。

8. 如果 extensions 成员出现在 options 中，则为每个 extensionId → clientExtensionInput 的 options.extensions：

   1. 如果 extensionId 不受此客户端平台支持或不是认证扩展，则继续。

   2. 设置 clientExtensions[extensionId] 为 clientExtensionInput。

   3. 如果 extensionId 不是认证器扩展，则继续。

   4. 令 authenticatorExtensionInput 为执行 extensionId 的客户端扩展处理 算法 在 clientExtensionInput 上的结果（CBOR）。如果算法返回了错误，继续。

   5. 设置 authenticatorExtensions[extensionId] 为 base64url 编码 的 authenticatorExtensionInput。

9. 令 collectedClientData 为一个新的 CollectedClientData 实例，其字段如下：

   type

   字符串 "webauthn.get"。

   challenge

   base64url 编码 的 options.challenge

   origin

   origin 的序列化 的值 callerOrigin。

   crossOrigin

   与传递给此 内部方法 的参数sameOriginWithAncestors 的值相反。

   tokenBinding

   客户端与 callerOrigin 之间的 Token Binding 的状态，以及与 callerOrigin 关联的 Token Binding ID，如果存在的话。

10. 令 clientDataJSON 为 客户端数据的 JSON 兼容序列化的表示形式 collectedClientData。

11. 令 clientDataHash 为 序列化客户端数据的哈希值 clientDataJSON。

12. 如果 options.signal 出现并且其aborted 标志被设置为true， 则返回 DOMException， 其名称为 "AbortError"， 并终止此算法。

13. 令 issuedRequests 为一个新的有序集合。

14. 令 savedCredentialIds 为一个新的 映射。

15. 令 authenticators 表示一个值，该值在任何给定时间内都是一个集合，其中每个 客户端平台 特定句柄 项 在该时间点识别出当前可用的一个认证器。

    注意： 什么资格可以让一个 认证器 被认为是“可用的”并没有具体说明；这旨在表示认证器可以通过各种机制热插拔（例如，通过 USB） 或被客户端发现（例如，通过 NFC 或 Bluetooth），或者永久内置于客户端中。

16. 启动 lifetimeTimer。

17. 当 lifetimeTimer 未过期时， 执行 以下操作，取决于 lifetimeTimer， 以及状态和响应 每个 authenticator 在 authenticators 中：

    如果 lifetimeTimer 过期，

    对每个 authenticator 在 issuedRequests 中调用 authenticatorCancel 操作并且移除 authenticator 从 issuedRequests 中。

    如果用户执行用户代理用户界面选项以取消过程，

    对每个 authenticator 在 issuedRequests 中调用 authenticatorCancel 操作并且移除 authenticator 从 issuedRequests 中。返回 DOMException ，其名称为 "NotAllowedError"。

    如果 signal 成员存在并且 aborted 标志 设置为 true，

    对每个 authenticator 在 issuedRequests 中调用 authenticatorCancel 操作并且移除 authenticator 从 issuedRequests 中。然后 返回 DOMException， 其名称为 "AbortError"， 并终止此算法。

    如果 issuedRequests 为空， options.allowCredentials 不为空，并且没有 authenticator 会变得可用用于其中的任何 公钥凭证，

    向用户表明没有找到符合条件的凭证。当用户确认对话框后，返回 DOMException， 其名称为 "NotAllowedError"。

    注意： 一个客户端平台可以确定没有 authenticator 会变得可用的一种方法是检查当前的 transports 成员 的 PublicKeyCredentialDescriptor 项 options.allowCredentials， 如果有的话。例如，如果所有 PublicKeyCredentialDescriptor 项 仅列出 internal， 但是所有平台 authenticator 都已经尝试过，那么就没有可能满足请求。或者， 所有 PublicKeyCredentialDescriptor 项 可能列出 transports， 而客户端平台不支持这些 transports。

    如果 authenticator 变得在此客户端设备上可用，

    注意： 这包括 authenticator 在 lifetimeTimer 启动时已可用的情况。

    1. 如果 options.userVerification 设置为required 并且 authenticator 无法执行 用户验证，继续。

    2. 令 userVerification 为 有效用户验证要求，一个布尔值，如下所示。如果 options.userVerification

       设置为 required

       令 userVerification 为 true。

       设置为 preferred

       如果 authenticator

       能够执行 用户验证

       令 userVerification 为 true。

       无法执行 用户验证

       令 userVerification 为 false。

       设置为 discouraged

       令 userVerification 为 false。

    3. 如果 options.allowCredentials

       不为空

       1. 令 allowCredentialDescriptorList 为一个新的 列表。

       2. 执行一个客户端平台特定 过程，确定是否存在匹配 rpId、options.allowCredentials、options.id 和options.type的 公钥凭证。 将 allowCredentialDescriptorList 设置为此过滤后的列表。

       3. 如果 allowCredentialDescriptorList 为空，继续。

       4. 令 distinctTransports 为一个新的 有序集合。

       5. 如果 allowCredentialDescriptorList 只有一个值，将 savedCredentialIds[authenticator] 设置为 allowCredentialDescriptorList[0].id 的值（参见 此处 在 § 6.3.3 认证器获取断言操作 了解更多信息）。

       6. 对于每个 凭证描述符 C 在 allowCredentialDescriptorList 中，附加 每个值（如果有） 到 distinctTransports。

          注意： 这将聚合 distinctTransports 中仅限的 transports 值 （对于此 认证器）由于有序集合的属性。

       7. 如果 distinctTransports

          不为空

          客户端从 distinctTransports 中选择一个 transport 值，可能会结合本地 配置知识以选择适合于与 authenticator 配合使用的 传输。

          然后，使用 transport，调用 authenticatorGetAssertion 操作在 authenticator 上，带有 rpId、clientDataHash、 allowCredentialDescriptorList、 userVerification 和 authenticatorExtensions 作为参数。

          为空

          使用本地配置知识以选择适合于与 authenticator 配合使用的 传输，调用 authenticatorGetAssertion 操作在 authenticator 上带有 rpId、clientDataHash、allowCredentialDescriptorList、 userVerification 和 authenticatorExtensions 作为参数。

       为空

       使用本地配置知识选择适合于与 authenticator 配合使用的传输，调用 authenticatorGetAssertion 操作在 authenticator 上，带有 rpId、 clientDataHash、userVerification 和 authenticatorExtensions 作为参数。

       注意： 在这种情况下，依赖方 未提供可接受的凭证描述符列表。因此，认证器被要求行使任何 凭证它可能 拥有 在 rpId 下标识的依赖方范围内。

    4. 附加 authenticator 到 issuedRequests。

    如果 authenticator 不再在此客户端设备上可用，

    移除 authenticator 从 issuedRequests 中。

    如果任何 authenticator 返回一个状态，表示用户取消了操作，

    1. 移除 authenticator 从 issuedRequests 中。

    2. 对每个 剩余 authenticator 在 issuedRequests 中调用 authenticatorCancel 操作 并且 移除它从 issuedRequests 中。

       注意： 认证器 可能 返回表示“用户取消了整个操作”的状态。 用户代理如何将此状态表现给用户未做具体说明。

    如果任何 authenticator 返回错误状态，

    移除 authenticator 从 issuedRequests 中。

    如果任何 authenticator 指示成功，

    1. 移除 authenticator 从 issuedRequests 中。

    2. 令 assertionCreationData 为一个 结构 ，其 项 如下所示：

       credentialIdResult

       如果 savedCredentialIds[authenticator] 存在，将credentialIdResult 的值设置为 savedCredentialIds[authenticator] 的字节数。 否则，将credentialIdResult 的值设置为从成功返回的 凭证 ID 的字节数authenticatorGetAssertion操作，在 § 6.3.3 认证器获取断言操作中定义的。

       clientDataJSONResult

       其值为 clientDataJSON 的字节数。

       authenticatorDataResult

       其值为 认证器数据 的字节数，该数据由 认证器 返回。

       signatureResult

       其值为 认证器 返回的签名值的字节数。

       userHandleResult

       如果认证器 返回了一个用户句柄，将 userHandleResult 的值设置为 返回的 用户句柄 的字节数。否则，将 userHandleResult 的值设置为 null。

       clientExtensionResults

       其值为一个AuthenticationExtensionsClientOutputs 对象，包含 扩展标识符 → 客户端扩展输出 条目。条目是通过运行每个扩展的客户端扩展处理 算法创建的 客户端扩展输出， 对于 客户端扩展 中的每个 options.extensions。

    3. 令 constructAssertionAlg 为一个算法，它接收一个全局对象 global，其步骤如下：

       1. 令 pubKeyCred 为一个新的 PublicKeyCredential 对象，与 global 关联，其字段如下：

          [[identifier]]

          一个新的 ArrayBuffer ，使用 global 的 %ArrayBuffer% 创建，包含 assertionCreationData.credentialIdResult 的字节数。

          response

          一个新的 AuthenticatorAssertionResponse 对象，与 global 关联，其字段如下：

          clientDataJSON

          一个新的 ArrayBuffer ，使用 global 的 %ArrayBuffer% 创建，包含 assertionCreationData.clientDataJSONResult 的字节数。

          authenticatorData

          一个新的 ArrayBuffer ，使用 global 的 %ArrayBuffer% 创建，包含 assertionCreationData.authenticatorDataResult 的字节数。

          signature

          一个新的 ArrayBuffer ，使用 global 的 %ArrayBuffer% 创建，包含 assertionCreationData.signatureResult 的字节数。

          userHandle

          如果assertionCreationData.userHandleResult为null，则将此字段设置为null。否则，将此字段设置为一个新的ArrayBuffer，使用global的%ArrayBuffer%创建，包含assertionCreationData.userHandleResult的字节。

          [[clientExtensionsResults]]

          一个新的 ArrayBuffer ，使用 global 的 %ArrayBuffer% 创建，包含 assertionCreationData.clientExtensionResults 的字节数。

       2. 返回 pubKeyCred。

    4. 对每个 剩余 authenticator 在 issuedRequests 中调用 authenticatorCancel 操作 并且 移除它从 issuedRequests 中。

    5. 返回 constructAssertionAlg 并终止此算法。

18. 返回 DOMException， 其名称为 "NotAllowedError"。 为了防止泄露可能在未经用户同意的情况下识别用户的信息，此步骤不得在 lifetimeTimer 到期之前执行。有关详细信息，请参见 § 14.5.2 认证隐私。

在上述过程中，用户代理应向用户显示一些 UI，以指导他们完成选择和授权一个认证器以完成操作的过程。

[[Store]](credential, sameOriginWithAncestors) 方法不支持 Web 身份验证的 PublicKeyCredential 类型，因此它总是返回一个错误。

注意： 该算法是同步的；Promise 的解决/拒绝由 navigator.credentials.store() 处理。

这个内部方法接受两个参数：

credential

此参数是一个 PublicKeyCredential 对象。

sameOriginWithAncestors

此参数是一个布尔值，当且仅当调用者的环境设置对象与其祖先具有相同的源时，该值为 true。

当调用此方法时，用户代理必须执行以下算法：

1. 返回一个 DOMException， 其名称为 "NotSupportedError"， 并终止此算法

调用 [[preventSilentAccess]](credential, sameOriginWithAncestors) 方法对需要 授权手势的认证器没有影响，但设置该标志可能会排除那些可以在没有用户干预的情况下操作的认证器。

这个内部方法不接受任何参数。

WebAuthn 依赖方使用此方法来确定他们是否可以使用用户验证平台认证器创建新凭证。 调用后，客户端使用 客户端平台特定过程发现可用的用户验证平台认证器。 如果发现任何认证器，promise 的值将解析为 true。 否则，promise 的值将解析为 false。 基于结果，依赖方可以采取进一步行动引导用户创建凭证。

此方法不接受任何参数，并返回一个布尔值。

partial interface PublicKeyCredential {
    static Promise<boolean> isUserVerifyingPlatformAuthenticatorAvailable();
};

注意： 从一个 浏览上下文 中调用此方法，而该上下文中的 Web 身份验证 API 根据 允许使用 算法被“禁用”，即通过权限策略，将导致 promise 被拒绝，并抛出 DOMException， 其名称为 "NotAllowedError"。 另见 § 5.9 权限策略集成。

✔MDN

AuthenticatorResponse/clientDataJSON

在所有当前引擎中可用。

Firefox60+Safari13+Chrome67+

---

Opera无Edge79+

---

Edge (旧版)18IE无

---

Firefox for Android60+iOS Safari13.3+Chrome for Android70+Android WebView70+Samsung Internet无Opera Mobile无

clientDataJSON, 类型为 ArrayBuffer, 只读

该属性包含 与 JSON 兼容的序列化 的客户端数据，其 散列值 是由客户端在调用 create() 或 get() 时传递给认证器的（即，客户端数据本身不会发送给认证器）。

clientDataJSON

此属性继承自 AuthenticatorResponse， 包含 JSON兼容的客户端数据序列化（参见 § 6.5 认证）， 这些数据由客户端传递给认证器以生成该凭证。必须保留确切的 JSON 序列化，因为已经计算了 序列化客户端数据的哈希值。

getTransports()

此操作返回 [[transports]] 的值。

getAuthenticatorData()

此操作返回包含在 attestationObject 中的 认证器数据。参见 § 5.2.1.1 轻松访问凭证数据。

getPublicKey()

此操作返回新凭证的 DER SubjectPublicKeyInfo，如果不可用，则返回 null。参见 § 5.2.1.1 轻松访问凭证数据。

getPublicKeyAlgorithm()

此操作返回新凭证的 COSEAlgorithmIdentifier。参见 § 5.2.1.1 轻松访问凭证数据。

[[transports]]

此内部槽包含按字典顺序排列的零个或多个唯一 DOMString 序列。 这些值是 认证器被认为支持的传输方式，或在信息不可用时返回一个空序列。 这些值应为 AuthenticatorTransport 的成员， 但 依赖方 必须忽略未知值。

clientDataJSON

从 AuthenticatorResponse 继承的该属性包含传递给认证器以生成该断言的 与 JSON 兼容的客户端数据序列化（见 § 5.8.1 用于 WebAuthn 签名的客户端数据（词典 CollectedClientData））。 必须保留精确的 JSON 序列化格式，因为已经计算了 已序列化客户端数据的哈希值。

✔MDN

AuthenticatorAssertionResponse/authenticatorData

在所有当前的引擎中。

Firefox60+Safari13+Chrome67+

---

OperaNoneEdge79+

---

Edge (Legacy)18IENone

---

Firefox for Android60+iOS Safari13.3+Chrome for Android70+Android WebView70+Samsung InternetNoneOpera MobileNone

authenticatorData, 类型为 ArrayBuffer，只读

该属性包含由认证器返回的 认证器数据。参见 § 6.1 认证器数据。

✔MDN

AuthenticatorAssertionResponse/signature

在所有当前的引擎中。

Firefox60+Safari13+Chrome67+

---

OperaNoneEdge79+

---

Edge (Legacy)18IENone

---

Firefox for Android60+iOS Safari13.3+Chrome for Android70+Android WebView70+Samsung InternetNoneOpera MobileNone

signature, 类型为 ArrayBuffer，只读

该属性包含由认证器返回的原始签名。参见 § 6.3.3 认证器获取断言操作。

✔MDN

AuthenticatorAssertionResponse/userHandle

在所有当前的引擎中。

Firefox60+Safari13+Chrome67+

---

OperaNoneEdge79+

---

Edge (Legacy)18IENone

---

Firefox for Android60+iOS Safari13.3+Chrome for Android70+Android WebView70+Samsung InternetNoneOpera MobileNone

userHandle, 类型为 ArrayBuffer，只读，可为空

该属性包含由认证器返回的 用户句柄，如果认证器未返回 用户句柄，则为 null。参见 § 6.3.3 认证器获取断言操作。

type, 类型为 DOMString

该成员指定要创建的凭证类型。值应为 PublicKeyCredentialType 的成员，但 客户端平台必须忽略未知的值，忽略任何具有未知 PublicKeyCredentialParameters 的 type。

alg, 类型为 COSEAlgorithmIdentifier

该成员指定新生成凭证将使用的加密签名算法，因此也指定了要生成的非对称密钥对的类型，例如 RSA 或椭圆曲线。

注意: 我们使用“alg”作为后一个成员名称，而不是拼出“algorithm”，因为它将被序列化为发给认证器的消息，这可能通过低带宽链接发送。

✔MDN

PublicKeyCredentialCreationOptions/rp

在所有当前引擎中。

Firefox60+Safari13+Chrome67+

---

Opera54+Edge79+

---

Edge (旧版)无IE无

---

Android 版 Firefox？iOS Safari13.3+Android 版 Chrome67+Android WebView无三星 Internet无Opera Mobile48+

rp, 类型为 PublicKeyCredentialRpEntity

此成员包含有关发出请求的 依赖方 的数据。

其值的 name 成员是必需的。有关详细信息，请参阅 § 5.4.1 公钥实体描述（字典 PublicKeyCredentialEntity）。

其值的 id 成员指定了应将凭证 限定 为的 RP ID。如果省略， 其值将是 CredentialsContainer 对象的 相关设置对象 的 来源 的 有效域。有关详细信息，请参阅 § 5.4.2 凭证生成的依赖方参数（字典 PublicKeyCredentialRpEntity）。

✔MDN

PublicKeyCredentialCreationOptions/user

在所有当前引擎中。

Firefox60+Safari13+Chrome67+

---

Opera54+Edge79+

---

Edge (旧版)无IE无

---

Android 版 Firefox？iOS Safari13.3+Android 版 Chrome67+Android WebView无三星 Internet无Opera Mobile48+

user, 类型 为 PublicKeyCredentialUserEntity

此成员包含有关 依赖方 请求 的用户帐户的 数据。

其值的 name、 displayName 和 id 成员是必需的。有关详细信息，请参阅 § 5.4.1 公钥实体描述（字典 PublicKeyCredentialEntity） 和 § 5.4.3 用户帐户凭证生成参数（字典 PublicKeyCredentialUserEntity）。

✔MDN

PublicKeyCredentialCreationOptions/challenge

在所有当前引擎中。

Firefox60+Safari13+Chrome67+

---

Opera54+Edge79+

---

Edge (旧版)无IE无

---

Android 版 Firefox？iOS Safari13.3+Android 版 Chrome67+Android WebView无三星 Internet无Opera Mobile48+

challenge, 类型为 BufferSource

此成员包含用于生成新创建的凭证的 证明对象 的挑战。有关安全性注意事项，请参阅 § 13.4.3 加密挑战。

✔MDN

PublicKeyCredentialCreationOptions/pubKeyCredParams

在所有当前引擎中。

Firefox60+Safari13+Chrome67+

---

Opera54+Edge79+

---

Edge (旧版)无IE无

---

Android 版 Firefox？iOS Safari13.3+Android 版 Chrome67+Android WebView无三星 Internet无Opera Mobile48+

pubKeyCredParams, 类型为 sequence<PublicKeyCredentialParameters>

此成员包含有关要创建的凭证所需属性的信息。序列按优先顺序排列，从最优先到最不优先。客户端 会尽力创建它所能创建的最优先凭证。

✔MDN

PublicKeyCredentialCreationOptions/timeout

在所有当前引擎中。

Firefox60+Safari13+Chrome67+

---

Opera54+Edge79+

---

Edge (旧版)无IE无

---

Android 版 Firefox？iOS Safari13.3+Android 版 Chrome67+Android WebView无三星 Internet无Opera Mobile48+

timeout, 类型为 unsigned long

此成员指定调用者愿意等待调用完成的时间，以毫秒为单位。这被视为提示，可能会被 客户端 覆盖。

✔MDN

PublicKeyCredentialCreationOptions/excludeCredentials

在所有当前引擎中。

Firefox60+Safari13+Chrome67+

---

Opera54+Edge79+

---

Edge (旧版)无IE无

---

Android 版 Firefox？iOS Safari13.3+Android 版 Chrome67+Android WebView无三星 Internet无Opera Mobile48+

excludeCredentials, 类型为 sequence<PublicKeyCredentialDescriptor>，默认为 []

此成员供希望限制在单个验证器上为同一帐户创建多个凭证的 依赖方 使用。如果新凭证将在已包含此参数中列出的凭证之一的验证器上创建，客户端 被请求返回错误。

✔MDN

PublicKeyCredentialCreationOptions/authenticatorSelection

在所有当前引擎中。

Firefox60+Safari13+Chrome67+

---

Opera54+Edge79+

---

Edge (旧版)无IE无

---

Android 版 Firefox？iOS Safari13.3+Android 版 Chrome67+Android WebView无三星 Internet无Opera Mobile48+

authenticatorSelection, 类型为 AuthenticatorSelectionCriteria

此成员供希望选择适当验证器参与 create() 操作的 依赖方 使用。

✔MDN

PublicKeyCredentialCreationOptions/attestation

在所有当前引擎中。

Firefox60+Safari13+Chrome67+

---

Opera54+Edge79+

---

Edge (旧版)无IE无

---

Android 版 Firefox？iOS Safari13.3+Android 版 Chrome67+Android WebView无三星 Internet无Opera Mobile48+

attestation, 类型为 DOMString，默认为 "none"

此成员供希望表达其对 证明传输 的偏好的 依赖方 使用。其值应为 AttestationConveyancePreference 的成员。客户端平台 必须忽略未知值，将未知值视为 成员不存在。 其默认值为 "none"。

extensions, 类型为 AuthenticationExtensionsClientInputs

此成员包含请求客户端和验证器执行额外处理的附加参数。例如，调用者可以请求仅使用具有某些能力的验证器来创建凭证，或请求在 证明对象 中返回特定信息。一些扩展定义在 § 9 WebAuthn 扩展 中；有关最新注册 WebAuthn 扩展 的列表，请参阅由 [RFC8809] 建立的 IANA "WebAuthn 扩展标识符" 注册表 [IANA-WebAuthn-Registries]。

name, 类型为 DOMString

该实体的 可读性良好的 名称。其功能取决于 PublicKeyCredentialEntity 所代表的内容：

• 当继承自 PublicKeyCredentialRpEntity 时，它是用于显示的 可读性良好的 依赖方标识符。例如，“ACME Corporation”、“Wonderful Widgets, Inc.”或“ОАО Примертех”。

  • 依赖方 在设置 name 的值或向用户显示值时，应按照 [RFC8266] 的第 2.3 节中对 PRECIS FreeformClass 的昵称配置文件规定的要求执行。

  • 该字符串可以包含语言和方向元数据。依赖方 应考虑提供此信息。有关如何编码此元数据的详细信息，请参阅 § 6.4.2 语言和方向编码。

  • 客户端 在向用户显示值之前，或在作为 authenticatorMakeCredential 操作的参数包含值之前，应按照 [RFC8266] 的第 2.3 节对 PRECIS FreeformClass 的昵称配置文件规定的要求执行。

• 当继承自 PublicKeyCredentialUserEntity 时，它是用户帐户的 可读性良好的 标识符。它仅用于显示，帮助用户区分具有类似 displayName 的用户帐户。 例如，“alexm”、“alex.mueller@example.com”或“+14255551234”。

  • 依赖方 可以允许用户选择该值。依赖方 在设置 name 的值或向用户显示值时，应按照 [RFC8265] 的第 3.4.3 节中对 PRECIS IdentifierClass 的 UsernameCasePreserved 配置文件规定的要求执行。

  • 该字符串可以包含语言和方向元数据。依赖方 应考虑提供此信息。有关如何编码此元数据的详细信息，请参阅 § 6.4.2 语言和方向编码。

  • 客户端 在向用户显示值之前，或在作为 authenticatorMakeCredential 操作的参数包含值之前，应按照 [RFC8265] 的第 3.4.3 节对 PRECIS IdentifierClass 的 UsernameCasePreserved 配置文件规定的要求执行。

当 客户端、客户端平台 或 验证器 显示 name 的值时，应始终使用 UI 元素提供明确的边界，并且不要允许溢出到其他元素 [css-overflow-3]。

验证器可以截断 name 成员的值，以便在验证器存储值时将其限制在 64 字节内。有关截断及其他注意事项的详细信息，请参阅 § 6.4.1 字符串截断。

id, 类型为 DOMString

用于设置 RP ID 的 依赖方 实体的唯一标识符。

id, 类型为 BufferSource

用户帐户实体的 用户句柄。用户句柄 是一个不透明的 字节序列，最大长度为 64 字节，不应向用户显示。

为了确保安全操作，认证和授权决策必须基于该 id 成员，而不是基于 displayName 或 name 成员。参见 [RFC8266] 的第 6.1 节。

用户句柄不得包含有关用户的个人身份信息，例如用户名或电子邮件地址；详见 § 14.6.1 用户句柄内容。用户句柄不得为空，尽管它可以为 null。

注意：用户句柄 不应 在不同帐户之间是常量值，即使对于 不可发现的凭证 也是如此，因为某些验证器始终创建 可发现的凭证。因此，常量用户句柄将阻止用户在同一 依赖方 上使用这样的验证器与多个帐户。

displayName, 类型为 DOMString

用户帐户的 易理解 名称，仅用于显示。例如，“Alex Müller” 或 “田中倫”。依赖方 应允许用户选择此名称，并且不应限制选择超过必要范围。

• 依赖方 应进行强制检查，按照 [RFC8266] 的第 2.3 节规定的 Nickname Profile of the PRECIS FreeformClass [RFC8264]，在设置 displayName 的值时，或在显示该值给用户时。

• 此字符串可以包含语言和方向元数据。依赖方 应考虑提供此信息。关于此元数据如何编码，请参见 § 6.4.2 语言和方向编码。

• 客户端 应进行强制检查，按照 [RFC8266] 的第 2.3 节规定的 Nickname Profile of the PRECIS FreeformClass [RFC8264]， 在显示 displayName 值给用户之前，或在 authenticatorMakeCredential 操作的参数中包含该值之前进行检查。

当 客户端，客户端平台，或 验证器 显示 displayName 的值时，应该始终使用 UI 元素提供明确的边界，并且不要允许溢出到其他元素 [css-overflow-3]。

验证器 必须接受并存储至少 64 字节长度的 displayName 成员值。验证器可以截断 displayName 成员值，使其适应 64 字节的长度。关于截断及其他注意事项的详细信息，请参阅 § 6.4.1 字符串截断。

authenticatorAttachment, 类型为 DOMString

如果存在此成员，则仅筛选具有指定 § 5.4.5 认证器附件枚举 (enum AuthenticatorAttachment) 的认证器。值应为 AuthenticatorAttachment 的成员，但 客户端平台 必须忽略未知值，并将未知值视为该 成员不存在。

residentKey, 类型为 DOMString

指定依赖方在创建 客户端可发现的凭证 时的要求。由于历史原因，命名保留了已弃用的“resident”术语。值应为 ResidentKeyRequirement 的成员，但 客户端平台 必须忽略未知值，并将未知值视为该 成员不存在。如果未给出值，则当 requireResidentKey 为 true 时，其有效值为 required，如果为 false 或不存在，其有效值为 discouraged。

参见 ResidentKeyRequirement 了解 residentKey 的值和语义的描述。

requireResidentKey, 类型为 boolean，默认值为 false

此成员保留用于与 WebAuthn 第 1 级的向后兼容，并且由于历史原因，其命名保留了已弃用的“resident”术语以指代 可发现的凭证。依赖方 应该仅在 residentKey 设置为 required 时，才将其设置为 true。

userVerification, 类型为 DOMString，默认值为 "preferred"

此成员描述依赖方对于 create() 操作的 用户验证 要求。仅筛选能够满足此要求的认证器。值应为 UserVerificationRequirement 的成员，但 客户端平台 必须忽略未知值，并将未知值视为该 成员不存在。

platform

此值表示平台附件。

cross-platform

此值表示跨平台附件。

discouraged

此值表示依赖方更倾向于创建服务器端凭证，但会接受客户端可发现的凭证。

注意: 依赖方不能要求创建的凭证必须是服务器端凭证，而凭证属性扩展可能不会返回rk属性的值。因此，依赖方可能无法知道凭证是否为服务器端凭证，也无法知道是否创建了具有相同用户句柄的第二个凭证会将第一个凭证移除。

preferred

此值表示依赖方强烈倾向于创建客户端可发现的凭证，但会接受服务器端凭证。例如，如果需要创建客户端可发现的凭证，用户代理应引导用户设置用户验证。在这种情况下，这优先于userVerification的设置。

required

此值表示依赖方要求创建一个客户端可发现的凭证，并且如果无法创建客户端可发现的凭证，则会接受错误。

none

此值表示依赖方对认证器证明不感兴趣。例如，为了可能避免获得用户同意以将识别信息转发给依赖方，或节省与证明 CA或匿名化 CA之间的往返通信。

这是默认值。

indirect

此值表示依赖方倾向于获得可验证的证明传递，但允许客户端决定如何获取此类证明声明。客户端可以用匿名化 CA生成的证明声明替换认证器生成的证明声明，以保护用户隐私，或帮助依赖方在异构生态系统中进行证明验证。

注意: 在这种情况下，依赖方无法保证获得可验证的证明声明。例如，如果认证器使用自我证明。

direct

此值表示依赖方希望接收由认证器生成的证明声明。

enterprise

此值表示依赖方希望接收到可能包含唯一识别信息的证明声明。这适用于企业内部的受控部署，组织希望将注册与特定的认证器绑定。用户代理不得提供此类证明，除非用户代理或认证器配置允许为请求的RP ID提供此类证明。

如果允许，用户代理应在调用时向认证器发出请求企业证明的信号，并将结果中的AAGUID和证明声明未更改地传达给依赖方。

type, 类型 DOMString

当创建新凭证时，此成员包含字符串"webauthn.create"，当从现有凭证获取断言时，包含字符串"webauthn.get"。此成员的目的是防止某些类型的签名混淆攻击（攻击者将一个合法签名替换为另一个）。

challenge, 类型 DOMString

此成员包含依赖方提供的挑战的 base64url 编码。见§ 13.4.3 加密挑战安全注意事项。

origin, 类型 DOMString

此成员包含请求者的完全限定的来源，由客户端提供给认证器，格式为[RFC6454]定义的语法。

crossOrigin, 类型 boolean

此成员包含传递给内部方法的sameOriginWithAncestors参数值的反值。

tokenBinding, 类型 TokenBinding

此可选成员包含关于与依赖方通信时使用的令牌绑定协议[TokenBinding]状态的信息。它的缺失表示客户端不支持令牌绑定。

status, 类型 DOMString

此成员应该是TokenBindingStatus的成员，但客户端平台必须忽略未知的值，将未知的值视为tokenBinding 成员不存在。已知时，此成员是以下之一：

supported

表示客户端支持令牌绑定，但在与依赖方通信时未协商使用。

present

表示在与依赖方通信时使用了令牌绑定。在这种情况下，必须存在id成员。

注意： TokenBindingStatus枚举故意不被引用，见§ 2.1.1 枚举作为 DOMString 类型。

id, 类型 DOMString

如果status为present，则此成员必须存在，并且必须是使用与依赖方通信时使用的令牌绑定 ID的base64url 编码。

注意：获取令牌绑定 ID是客户端平台的特定操作。

客户端使用CollectedClientData结构来计算以下数量：

客户端数据的 JSON 兼容序列化

这是对CollectedClientData字典执行JSON 兼容序列化算法的结果。

序列化客户端数据的哈希值

这是客户端构造的客户端数据 JSON 兼容序列化的哈希值（使用 SHA-256 计算）。

当前定义了一个凭证类型，即“public-key”。

type, 类型为 DOMString

此成员包含调用者所指的 公钥凭证的类型。该值应为 PublicKeyCredentialType 枚举的成员，但 客户端平台 必须忽略具有未知 type 的 PublicKeyCredentialDescriptor。

id, 类型为 BufferSource

此成员包含调用者所指的 凭证 ID。

transports, 类型为 sequence<DOMString>

此可选成员包含客户端与管理 身份验证器 进行通信的提示信息。该值应为 AuthenticatorTransport 枚举的成员，但 客户端平台 必须忽略未知值。

getTransports() 操作可以为此成员提供合适的值。在注册新凭证时， 依赖方 应该存储从 getTransports() 返回的值。当为该凭证创建 PublicKeyCredentialDescriptor 时， 依赖方 应该检索存储的值并将其设置为 transports 成员的值。

usb

表示相应的认证器可以通过可移除的 USB 联系。

nfc

表示相应的认证器可以通过近场通信 (NFC) 联系。

ble

表示相应的认证器可以通过蓝牙智能（蓝牙低能耗/BLE）联系。

internal

表示相应的认证器通过客户端设备特定传输方式联系，即它是平台认证器。这些认证器无法从客户端设备中移除。

COSE 算法注册表允许在 COSE 密钥中由其他参数指定的自由度。为了促进互操作性，本规范对凭证公钥做出以下额外保证：

1. 使用算法 ES256 (-7) 的密钥必须将 P-256 (1) 指定为 crv 参数，且不得使用压缩点形式。

2. 使用算法 ES384 (-35) 的密钥必须将 P-384 (2) 指定为 crv 参数，且不得使用压缩点形式。

3. 使用算法 ES512 (-36) 的密钥必须将 P-521 (3) 指定为 crv 参数，且不得使用压缩点形式。

4. 使用算法 EdDSA (-8) 的密钥必须将 Ed25519 (6) 指定为 crv 参数。（这些在 COSE 中总是使用压缩形式。）

required

此值表示依赖方要求在操作中进行用户验证，如果响应中未设置UV 标志，则操作将失败。

preferred

此值表示依赖方更喜欢在操作中进行用户验证，但如果响应中未设置UV 标志，操作也不会失败。

discouraged

此值表示依赖方不希望在操作中使用用户验证（例如，为了尽量减少对用户交互流程的干扰）。