Web身份验证:
访问公钥凭证的API
第二级

此 内部方法 接受三个参数：

origin

此参数是相关设置对象的origin，由 调用create()实现决定。

options

此参数是一个 CredentialCreationOptions 对象，其 options.publicKey 成员包含一个 PublicKeyCredentialCreationOptions 对象，指定要创建的公钥凭证的期望属性。

sameOriginWithAncestors

此参数是一个布尔值，当且仅当调用者的环境设置对象与其祖先同源时为true。如果调用者是跨域的，则为false。

注意：此 内部方法的调用表明它已被权限策略允许，评估于[CREDENTIAL-MANAGEMENT-1]级别。 详见 § 5.9 权限策略集成。

注意： 此算法是同步的： Promise 的解决/拒绝由navigator.credentials.create()处理。

注意：此算法中使用的所有BufferSource 对象必须在算法开始时进行快照， 以避免潜在的同步问题。算法实现应获取缓冲源持有的字节的副本并在算法的相关部分中使用该副本。

当调用此方法时，用户代理必须执行以下算法：

1. 断言： options.publicKey 是存在的。

2. 如果sameOriginWithAncestors为false，则返回 "NotAllowedError" DOMException。

   注意：此"sameOriginWithAncestors"限制旨在解决在问题 #1336中提出的跟踪问题。此规范的未来版本可能会对此进行修订。

3. 让options为 options.publicKey 的值。

4. 如果 timeout 成员options存在，检查其值是否在客户端定义的合理范围内，如果不在，则将其调整为该范围内的最接近值。将计时器lifetimeTimer设置为此调整后的值。如果timeout 成员options不存在，则将lifetimeTimer设置为客户端特定的默认值。

   对于timeout 成员options的推荐范围和默认值如下： 如果 options.authenticatorSelection.userVerification

   设置为discouraged

   推荐范围：30000 毫秒到 180000 毫秒。

   推荐默认值：120000 毫秒（2 分钟）。

   设置为required 或preferred

   推荐范围：30000 毫秒到 600000 毫秒。

   推荐默认值：300000 毫秒（5 分钟）。

   注意：用户代理应在考虑具有特殊需求的用户的认知指南后再确定超时。

5. 如果 options.user.id 的长度不在 1 到 64 字节（含）之间，则返回 TypeError。

6. 设callerOrigin为origin。 如果callerOrigin是不透明的origin，则返回一个DOMException 其名称为 "NotAllowedError"， 并终止此算法。

7. 设effectiveDomain为callerOrigin的有效域名。 如果有效域名不是有效域名，则返回一个DOMException 其名称为 "SecurityError"， 并终止此算法。

   注意：一个有效域名可以解析为host，其表示形式多种多样， 如域名、IPv4 地址、 IPv6 地址、不透明的host或 空host。 此处仅允许域名格式的host。 这是为了简化，同时也 认识到使用直接IP地址识别与PKI-based安全结合使用的各种问题。

8. 如果 options.rp.id

   存在

   如果 options.rp.id 不是注册域名后缀或不等于effectiveDomain， 返回一个DOMException 其名称为"SecurityError"， 并终止此算法。

   不存在

   将 options.rp.id 设置为effectiveDomain。

   注意： options.rp.id 代表调用者的RP ID。RP ID默认情况下为调用者的origin的effective domain，除非调用者在调用create()时显式设置了 options.rp.id。

9. 让credTypesAndPubKeyAlgs为一个新的列表，其项为PublicKeyCredentialType 和 一个COSEAlgorithmIdentifier。

10. 如果 options.pubKeyCredParams的大小

    为零

    附加以下PublicKeyCredentialType 和COSEAlgorithmIdentifier对到credTypesAndPubKeyAlgs：

    • public-key 和-7 ("ES256")。

    • public-key 和-257 ("RS256")。

    非零

    对于每个current的 options.pubKeyCredParams：

    1. 如果 current.type 不包含此实现支持的PublicKeyCredentialType， 则继续。

    2. 设alg为 current.alg。

    3. 附加此对 current.type 和alg到credTypesAndPubKeyAlgs。

    如果credTypesAndPubKeyAlgs为空，则返回DOMException 其名称为 "NotSupportedError"， 并终止此算法。

11. 让clientExtensions为一个新的映射，让authenticatorExtensions为一个新的映射。

12. 如果options的extensions成员存在，则对于每个 extensionId → clientExtensionInput的 options.extensions：

    1. 如果extensionId不被此客户端平台支持或不是注册扩展，则继续。

    2. 设置 clientExtensions[extensionId] 为clientExtensionInput。

    3. 如果extensionId不是认证器扩展，则继续。

    4. 让authenticatorExtensionInput为运行extensionId的客户端扩展处理算法时的(CBOR)结果 在clientExtensionInput上。如果算法返回错误，则继续。

    5. 设置 authenticatorExtensions[extensionId] 为 authenticatorExtensionInput的base64url 编码。

13. 让collectedClientData为一个新的CollectedClientData实例，其字段为：

    type

    字符串 "webauthn.create"。

    challenge

    对 options 中的 challenge 进行 base64url 编码。

    origin

    对 callerOrigin 进行 序列化。

    crossOrigin

    与传递给该 内部方法 的 sameOriginWithAncestors 参数的值的反向。

    tokenBinding

    客户端与 callerOrigin 之间的 Token Binding 状态，以及与 callerOrigin 关联的 Token Binding ID（如果有的话）。

14. 让clientDataJSON为从collectedClientData构造的客户端数据的JSON兼容序列化。

15. 让clientDataHash为由clientDataJSON表示的客户端数据序列化后的哈希值。

16. 如果 options.signal 存在，并且其中止标志设置为true，则返回DOMException 其名称为"AbortError"， 并终止此算法。

17. 让issuedRequests为一个新的有序集合。

18. 令authenticators表示一个值，该值在任何给定时刻都是一个有序集合，其中包含客户端平台特定的句柄，每个项标识当前此客户端平台上可用的一个认证器。

    注意： 什么使认证器被视为"可用"是有意未指定的；这是为了表示如何通过各种机制认证器可以热插拔到（例如，通过USB）或被客户端发现（例如，通过NFC或蓝牙），或永久内置于客户端中。

19. 启动lifetimeTimer。

20. 当lifetimeTimer未过期时，依据lifetimeTimer、 状态和响应对于每个 authenticator 在 authenticators 中执行以下操作：

    如果lifetimeTimer过期，

    对于每个authenticator在 issuedRequests 中调用authenticatorCancel操作，并移除authenticator从 issuedRequests中。

    如果用户行使用户代理用户界面选项来取消该过程，

    对于每个authenticator在 issuedRequests中调用authenticatorCancel操作，并移除authenticator从 issuedRequests中。返回一个DOMException 其名称为 "NotAllowedError"。

    如果 options.signal 存在并且其中止标志设置为true，

    对于每个authenticator在 issuedRequests中调用authenticatorCancel操作，并移除authenticator从 issuedRequests中。然后返回一个DOMException 其名称为"AbortError"， 并终止此算法。

    如果authenticator在此客户端设备上变得可用，

    注意：这包括lifetimeTimer启动时authenticator已经可用的情况。

    1. 此authenticator现在是候选认证器。

    2. 如果 options.authenticatorSelection 存在：

       1. 如果 options.authenticatorSelection.authenticatorAttachment 存在且其值不等于authenticator的认证器连接方式，继续。

       2. 如果 options.authenticatorSelection.residentKey

          存在并设置为required

          如果authenticator无法存储客户端可发现的公钥凭证源，继续。

          存在并设置为preferred 或discouraged

          无效。

          不存在

          如果 options.authenticatorSelection.requireResidentKey 设置为true，且authenticator无法存储客户端可发现的公钥凭证源，继续。

       3. 如果 options.authenticatorSelection.userVerification 设置为required 且authenticator无法执行用户验证，则继续。

    3. 让requireResidentKey成为有效的凭证创建的常驻密钥要求，作为一个布尔值，规则如下：

       如果 options.authenticatorSelection.residentKey

       存在并设置为required

       设requireResidentKey为true。

       存在并设置为preferred

       如果authenticator

       能够执行客户端凭证存储方式

       设requireResidentKey为true。

       无法执行客户端凭证存储方式，或客户端无法确定认证器能力，

       设requireResidentKey为false。

       存在并设置为discouraged

       设requireResidentKey为false。

       不存在

       设requireResidentKey为以下值： options.authenticatorSelection.requireResidentKey。

    4. 让userVerification成为有效的凭证创建的用户验证要求，作为一个布尔值，规则如下： 如果 options.authenticatorSelection.userVerification

       设置为required

       设userVerification为true。

       设置为preferred

       如果authenticator

       能够执行用户验证

       设userVerification为true。

       无法执行用户验证

       设userVerification为false。

       设置为discouraged

       设userVerification为false。

    5. 让enterpriseAttestationPossible成为一个布尔值，规则如下。 如果 options.attestation

       设置为enterprise

       设enterpriseAttestationPossible为true，如果用户代理希望支持企业证明对于 options.rp.id (参见步骤8，在上文中)。 否则设为false。

       否则

       设enterpriseAttestationPossible为false。

    6. 让excludeCredentialDescriptorList为一个新的列表。

    7. 对于每个凭证描述符C在 options.excludeCredentials中：

       1. 如果 C.transports 非空，并且 authenticator连接的传输方式不在C.transports中提到，客户端可继续。

          注意：如果客户端选择继续，这可能会导致意外注册多个凭证绑定到同一个认证器，如果 C.transports中的传输提示不准确。 例如，存储的传输提示可能会因为软件升级添加了新的连接选项而变得不准确。

       2. 否则，附加C到 excludeCredentialDescriptorList中。

       3. 在authenticator上调用authenticatorMakeCredential操作，并使用clientDataHash， options.rp， options.user， requireResidentKey， userVerification， credTypesAndPubKeyAlgs， excludeCredentialDescriptorList， enterpriseAttestationPossible， 以及authenticatorExtensions作为参数。

    8. 附加authenticator到 issuedRequests。

    如果authenticator在此客户端设备上不再可用，

    移除authenticator从 issuedRequests中。

    如果任何authenticator返回状态指示用户取消了操作，

    1. 移除authenticator从 issuedRequests中。

    2. 对于每个剩余的authenticator 在issuedRequests中调用authenticatorCancel操作，并移除它从issuedRequests中。

       注意：认证器可能会返回“用户取消了整个操作”的指示。 用户代理如何将此状态显示给用户是未指定的。

    如果任何authenticator返回的错误状态等同于"InvalidStateError"，

    1. 移除authenticator从 issuedRequests中。

    2. 对于每个剩余的authenticator 在issuedRequests中调用authenticatorCancel操作，并移除它从issuedRequests中。

    3. 返回一个DOMException 其名称为"InvalidStateError"， 并终止此算法。

    注意：单独处理此错误状态是因为authenticator仅在excludeCredentialDescriptorList标识了绑定到authenticator的凭证且用户已同意该操作时返回该状态。鉴于此明确的同意，此情况可被依赖方区分是可以接受的。

    如果任何authenticator返回的错误状态不等同于"InvalidStateError"，

    移除 认证器 从 已发出的请求中。

    注意：此情况并不意味着 用户同意 操作，因此为了防止泄露潜在的身份识别信息，关于错误的详细信息将对 依赖方 隐藏。详情请参见 § 14.5.1 注册仪式隐私。

    如果任何authenticator指示成功，

    1. 移除authenticator从 issuedRequests中。此认证器现在是已选认证器。

    2. 让credentialCreationData为一个结构体， 其中的项为：

       attestationObjectResult

       其值为从成功的authenticatorMakeCredential 操作返回的字节。

       注意：此值为 attObj，如在§ 6.5.4 生成证明对象中定义。

       clientDataJSONResult

       其值为clientDataJSON的字节。

       attestationConveyancePreferenceOption

       其值为options的attestation的值。

       clientExtensionResults

       其值为一个AuthenticationExtensionsClientOutputs 对象，包含扩展标识符→客户端扩展输出 条目。条目是通过运行每个扩展的客户端扩展处理算法来创建客户端扩展输出，对于 options的extensions中的每个客户端扩展。

    3. 让constructCredentialAlg成为一个算法，该算法接受一个全局对象global， 其步骤为：

       1. 如果 credentialCreationData的attestationConveyancePreferenceOption的值为

          "none"

          将潜在的唯一标识信息替换为相同的非标识版本：

          1. 如果 AAGUID 在 验证过的凭据数据 中是 16 个零字节，且 credentialCreationData.attestationObjectResult.fmt 为 "packed"，且 credentialCreationData.attestationObjectResult 中没有 "x5c"，那么说明使用了 自我证明，无需采取进一步的操作。

          2. 否则：

             1. 将 AAGUID 在 验证过的凭据数据 中替换为 16 个零字节。

             2. 将 credentialCreationData.attestationObjectResult.fmt 的值设置为 "none"，并将 credentialCreationData.attestationObjectResult.attStmt 的值设置为空的 CBOR 映射。（请参阅 § 8.7 无证明声明格式 和 § 6.5.4 生成证明对象）。

          "indirect"

          客户端可以用更隐私友好和/或更易验证的版本替换 AAGUID 和 证明声明（例如，通过使用 匿名化 CA）。

          "direct" 或 "enterprise"

          将 身份验证器 的 AAGUID 和 证明声明 原样传递给 依赖方。

       2. 让attestationObject为一个新的ArrayBuffer， 使用global的%ArrayBuffer%创建， 包含 credentialCreationData的attestationObjectResult的值的字节。

       3. 让id为 attestationObject.authData.attestedCredentialData.credentialId。

       4. 让pubKeyCred为一个新的PublicKeyCredential 对象，与global相关联，其字段为：

          [[identifier]]

          id

          response

          一个新的AuthenticatorAttestationResponse 对象，与global相关联，其字段为：

          clientDataJSON

          一个新的ArrayBuffer， 使用global的%ArrayBuffer%创建， 包含 credentialCreationData的clientDataJSONResult的字节。

          attestationObject

          attestationObject

          [[transports]]

          一个或多个唯一的DOMString的序列， 按字典序排列，authenticator被认为支持这些值。 值应该是AuthenticatorTransport的成员， 但客户端平台必须忽略未知的值。

          如果用户代理不希望透露此信息，则可以用设计用来保护隐私的任意序列代替。此序列仍必须有效，即按字典顺序排列且不重复。例如，它可以使用空序列。无论哪种方式，在这种情况下，用户代理需要承担Relying Party行为可能不理想的风险。

          如果用户代理没有任何传输信息，它应将此字段设置为空序列。

          注意：用户代理如何发现给定认证器支持的传输方式超出了本规范的范围，但可能包括来自认证证书的信息（例如[FIDO-Transports-Ext]）、在CTAP2等认证器协议中传递的元数据，或关于平台认证器的特殊情况知识。

          [[clientExtensionsResults]]

          一个新的ArrayBuffer， 使用global的%ArrayBuffer%创建， 包含 credentialCreationData的clientExtensionResults的字节。

       5. 返回pubKeyCred。

    4. 对于每个剩余的authenticator 在issuedRequests中调用authenticatorCancel操作，并移除它从issuedRequests中。

    5. 返回constructCredentialAlg并终止此算法。

21. 返回一个DOMException 其名称为"NotAllowedError"。 为了防止在没有用户同意的情况下泄露可能识别用户的信息， 此步骤必须在lifetimeTimer过期之前不执行。 参见§ 14.5.1 注册仪式隐私了解详细信息。

在上述过程中，用户代理应向用户展示一些UI，以指导他们选择和授权认证器的过程。

这个 内部方法接受三个参数：

origin

这个参数是相关设置对象的origin，由调用的get() 实现决定，即CredentialsContainer的 请求Credential抽象操作。

options

这个参数是一个 CredentialRequestOptions 对象，其中 options.publicKey 成员包含一个 PublicKeyCredentialRequestOptions 对象，指定要发现的 公钥凭证的期望属性。

sameOriginWithAncestors

这个参数是一个布尔值，当且仅当调用者的环境设置对象与其祖先同源时，它为true。如果调用者是跨源的，则它为false。

注意： 调用这个 内部方法 表明它已被权限策略允许，该策略在 [CREDENTIAL-MANAGEMENT-1] 级别进行评估。 参见§ 5.9 权限策略集成。

注意： 该算法是同步的： Promise 的解决/拒绝由navigator.credentials.get() 处理。

注意： 在此算法中使用的所有 BufferSource 对象必须在算法开始时进行快照，以避免潜在的同步问题。算法实现应获取缓冲区源所持有的字节的副本并在算法的相关部分使用该副本。

调用此方法时，用户代理必须执行以下算法：

1. 断言： options.publicKey 已存在。

2. 令 options 为 options.publicKey 的值。

3. 如果 timeout 成员出现在 options 中，检查其值是否在由 客户端定义的合理范围内，如果不在该范围内，将其校正为位于该范围内的最接近值。 将计时器 lifetimeTimer 设置为此调整后的值。如果 timeout 成员未出现在 options 中，则将 lifetimeTimer 设置为 客户端特定的默认值。

   timeout 成员的推荐范围和默认值如下。 如果 options.userVerification

   设置为discouraged

   推荐范围：30000 毫秒到 180000 毫秒。

   推荐默认值：120000 毫秒（2 分钟）。

   设置为 required 或 preferred

   推荐范围：30000 毫秒到 600000 毫秒。

   推荐默认值：300000 毫秒（5 分钟）。

   注意： 用户代理应考虑认知指南，针对有特殊需求的用户设置超时时间。

4. 令 callerOrigin 为 origin。 如果 callerOrigin 是一个不透明的 origin，则返回 DOMException， 其名称为 "NotAllowedError"， 并终止此算法。

5. 令 effectiveDomain 为 callerOrigin 的 有效域。 如果 有效域 不是一个有效域，则返回 DOMException ，其名称为 "SecurityError" 并终止此算法。

   注意： 有效域可能解析为一个host，它可以通过各种方式表示，如 域、ipv4 地址、ipv6 地址、不透明的 host、 或空的 host。 这里只允许 域 格式的 host。 这是为了简化操作，并且也认识到使用基于 PKI 的安全性与直接 IP 地址识别的各种问题。

6. 如果 options.rpId 未出现，则将 rpId 设置为 effectiveDomain。

   否则：

   1. 如果 options.rpId 不是 effectiveDomain 的可注册域后缀或与其相等，则返回 DOMException， 其名称为 "SecurityError"， 并终止此算法。

   2. 将 rpId 设置为 options.rpId 的值。

      注意： rpId 表示调用者的 RP ID。RP ID 默认是调用者的 origin 的有效域，除非调用者在调用get()时显式设置了 options.rpId。

7. 令 clientExtensions 为一个新的 映射，并且 令 authenticatorExtensions 为一个新的 映射。

8. 如果 extensions 成员出现在 options 中，则为每个 extensionId → clientExtensionInput 的 options.extensions：

   1. 如果 extensionId 不受此客户端平台支持或不是认证扩展，则继续。

   2. 设置 clientExtensions[extensionId] 为 clientExtensionInput。

   3. 如果 extensionId 不是认证器扩展，则继续。

   4. 令 authenticatorExtensionInput 为执行 extensionId 的客户端扩展处理 算法 在 clientExtensionInput 上的结果（CBOR）。如果算法返回了错误，继续。

   5. 设置 authenticatorExtensions[extensionId] 为 base64url 编码 的 authenticatorExtensionInput。

9. 令 collectedClientData 为一个新的 CollectedClientData 实例，其字段如下：

   type

   字符串 "webauthn.get"。

   challenge

   base64url 编码 的 options.challenge

   origin

   origin 的序列化 的值 callerOrigin。

   crossOrigin

   与传递给此 内部方法 的参数sameOriginWithAncestors 的值相反。

   tokenBinding

   客户端与 callerOrigin 之间的 Token Binding 的状态，以及与 callerOrigin 关联的 Token Binding ID，如果存在的话。

10. 令 clientDataJSON 为 客户端数据的 JSON 兼容序列化的表示形式 collectedClientData。

11. 令 clientDataHash 为 序列化客户端数据的哈希值 clientDataJSON。

12. 如果 options.signal 出现并且其aborted 标志被设置为true， 则返回 DOMException， 其名称为 "AbortError"， 并终止此算法。

13. 令 issuedRequests 为一个新的有序集合。

14. 令 savedCredentialIds 为一个新的 映射。

15. 让authenticators表示一个在任何给定时刻都是一组的值，其中包含特定于客户端平台的句柄，每个项标识此时在该客户端平台上可用的认证器。

    注意：什么使认证器被视为“可用”是故意未具体说明的；这意味着认证器可以通过各种机制被热插拔（例如，通过USB）或被客户端发现（例如，通过NFC或蓝牙），或者永久性地内置于客户端中。

16. 启动 lifetimeTimer。

17. 当 lifetimeTimer 未过期时， 执行 以下操作，取决于 lifetimeTimer， 以及状态和响应 每个 authenticator 在 authenticators 中：

    如果 lifetimeTimer 过期，

    对每个 authenticator 在 issuedRequests 中调用 authenticatorCancel 操作并且移除 authenticator 从 issuedRequests 中。

    如果用户执行用户代理用户界面选项以取消过程，

    对每个 authenticator 在 issuedRequests 中调用 authenticatorCancel 操作并且移除 authenticator 从 issuedRequests 中。返回 DOMException ，其名称为 "NotAllowedError"。

    如果 signal 成员存在并且 aborted 标志 设置为 true，

    对每个 authenticator 在 issuedRequests 中调用 authenticatorCancel 操作并且移除 authenticator 从 issuedRequests 中。然后 返回 DOMException， 其名称为 "AbortError"， 并终止此算法。

    如果 issuedRequests 为空， options.allowCredentials 不为空，并且没有 authenticator 会变得可用用于其中的任何 公钥凭证，

    向用户表明没有找到符合条件的凭证。当用户确认对话框后，返回 DOMException， 其名称为 "NotAllowedError"。

    注意： 一个客户端平台可以确定没有 authenticator 会变得可用的一种方法是检查当前的 transports 成员 的 PublicKeyCredentialDescriptor 项 options.allowCredentials， 如果有的话。例如，如果所有 PublicKeyCredentialDescriptor 项 仅列出 internal， 但是所有平台 authenticator 都已经尝试过，那么就没有可能满足请求。或者， 所有 PublicKeyCredentialDescriptor 项 可能列出 transports， 而客户端平台不支持这些 transports。

    如果 authenticator 变得在此客户端设备上可用，

    注意： 这包括 authenticator 在 lifetimeTimer 启动时已可用的情况。

    1. 如果 options.userVerification 设置为required 并且 authenticator 无法执行 用户验证，继续。

    2. 令 userVerification 为 有效用户验证要求，一个布尔值，如下所示。如果 options.userVerification

       设置为 required

       令 userVerification 为 true。

       设置为 preferred

       如果 authenticator

       能够执行 用户验证

       令 userVerification 为 true。

       无法执行 用户验证

       令 userVerification 为 false。

       设置为 discouraged

       令 userVerification 为 false。

    3. 如果 options.allowCredentials

       不为空

       1. 让 allowCredentialDescriptorList 成为一个新的 列表。

       2. 执行一个特定于 客户端平台 的过程，以确定由 options.allowCredentials 描述的哪些（如果有的话）公钥凭证 是 绑定 到此 authenticator 的，通过与 rpId、options.allowCredentials.id 和 options.allowCredentials.type 匹配。将 allowCredentialDescriptorList 设置为此筛选后的列表。

       3. 如果 allowCredentialDescriptorList 为空，继续。

       4. 让 distinctTransports 成为一个新的 有序集合。

       5. 如果 allowCredentialDescriptorList 仅有一个值，将 savedCredentialIds[authenticator] 设置为 allowCredentialDescriptorList[0].id 的值（详细信息请参见 此处，位于 § 6.3.3 The authenticatorGetAssertion 操作）。

       6. 对于 allowCredentialDescriptorList 中的每个凭证描述符 C，将 C.transports 的每个值（如果有的话）添加到 distinctTransports 中。

          注： 这将仅聚合 transports 的不同值（对于这个 身份验证器）到 distinctTransports 中，这是由于 有序集合 的属性。

       7. 如果 distinctTransports

          不为空

          客户端从 distinctTransports 中选择一个 transport 值，可能根据与 authenticator 一起使用的适当传输的本地配置知识来做出选择。

          然后，使用 transport，在 authenticator 上调用 authenticatorGetAssertion 操作，参数为 rpId、clientDataHash、allowCredentialDescriptorList、userVerification 和 authenticatorExtensions。

          为空

          根据与 authenticator 一起使用的适当传输的本地配置知识，在 authenticator 上调用 authenticatorGetAssertion 操作，参数为 rpId、clientDataHash、allowCredentialDescriptorList、userVerification 和 authenticatorExtensions。

       为空

       使用本地配置知识选择适合于与 authenticator 配合使用的传输，调用 authenticatorGetAssertion 操作在 authenticator 上，带有 rpId、 clientDataHash、userVerification 和 authenticatorExtensions 作为参数。

       注意：在此情况下，Relying Party未提供可接受的凭证描述符列表。因此，请求认证器使用它可能拥有的任何限定于通过rpId标识的Relying Party的凭证。

    4. 附加 authenticator 到 issuedRequests。

    如果 authenticator 不再在此客户端设备上可用，

    移除 authenticator 从 issuedRequests 中。

    如果任何 authenticator 返回一个状态，表示用户取消了操作，

    1. 移除 authenticator 从 issuedRequests 中。

    2. 对每个 剩余 authenticator 在 issuedRequests 中调用 authenticatorCancel 操作 并且 移除它从 issuedRequests 中。

       注意： 认证器 可能 返回表示“用户取消了整个操作”的状态。 用户代理如何将此状态表现给用户未做具体说明。

    如果任何 authenticator 返回错误状态，

    移除 authenticator 从 issuedRequests 中。

    如果任何 authenticator 指示成功，

    1. 移除 authenticator 从 issuedRequests 中。

    2. 令 assertionCreationData 为一个 结构 ，其 项 如下所示：

       credentialIdResult

       如果 savedCredentialIds[authenticator] 存在，将credentialIdResult 的值设置为 savedCredentialIds[authenticator] 的字节数。 否则，将credentialIdResult 的值设置为从成功返回的 凭证 ID 的字节数authenticatorGetAssertion操作，在 § 6.3.3 认证器获取断言操作中定义的。

       clientDataJSONResult

       其值为 clientDataJSON 的字节数。

       authenticatorDataResult

       其值为 认证器数据 的字节数，该数据由 认证器 返回。

       signatureResult

       其值为 认证器 返回的签名值的字节数。

       userHandleResult

       如果认证器 返回了一个用户句柄，将 userHandleResult 的值设置为 返回的 用户句柄 的字节数。否则，将 userHandleResult 的值设置为 null。

       clientExtensionResults

       其值为一个AuthenticationExtensionsClientOutputs 对象，包含 扩展标识符 → 客户端扩展输出 条目。条目是通过运行每个扩展的客户端扩展处理 算法创建的 客户端扩展输出， 对于 客户端扩展 中的每个 options.extensions。

    3. 令 constructAssertionAlg 为一个算法，它接收一个全局对象 global，其步骤如下：

       1. 令 pubKeyCred 为一个新的 PublicKeyCredential 对象，与 global 关联，其字段如下：

          [[identifier]]

          一个新的 ArrayBuffer ，使用 global 的 %ArrayBuffer% 创建，包含 assertionCreationData.credentialIdResult 的字节数。

          response

          一个新的 AuthenticatorAssertionResponse 对象，与 global 关联，其字段如下：

          clientDataJSON

          一个新的 ArrayBuffer ，使用 global 的 %ArrayBuffer% 创建，包含 assertionCreationData.clientDataJSONResult 的字节数。

          authenticatorData

          一个新的 ArrayBuffer ，使用 global 的 %ArrayBuffer% 创建，包含 assertionCreationData.authenticatorDataResult 的字节数。

          signature

          一个新的 ArrayBuffer ，使用 global 的 %ArrayBuffer% 创建，包含 assertionCreationData.signatureResult 的字节数。

          userHandle

          如果assertionCreationData.userHandleResult为null，则将此字段设置为null。否则，将此字段设置为一个新的ArrayBuffer，使用global的%ArrayBuffer%创建，包含assertionCreationData.userHandleResult的字节。

          [[clientExtensionsResults]]

          一个新的 ArrayBuffer ，使用 global 的 %ArrayBuffer% 创建，包含 assertionCreationData.clientExtensionResults 的字节数。

       2. 返回 pubKeyCred。

    4. 对每个 剩余 authenticator 在 issuedRequests 中调用 authenticatorCancel 操作 并且 移除它从 issuedRequests 中。

    5. 返回 constructAssertionAlg 并终止此算法。

18. 返回 DOMException， 其名称为 "NotAllowedError"。 为了防止泄露可能在未经用户同意的情况下识别用户的信息，此步骤不得在 lifetimeTimer 到期之前执行。有关详细信息，请参见 § 14.5.2 认证隐私。

在上述过程中，用户代理应向用户显示一些 UI，以指导他们完成选择和授权一个认证器以完成操作的过程。

[[Store]](credential, sameOriginWithAncestors) 方法不支持 Web Authentication 的 PublicKeyCredential 类型，因此它总是返回一个错误。

注意： 该算法是同步的；Promise 的解决/拒绝由 navigator.credentials.store() 处理。

此 内部方法 接受两个参数：

credential

该参数是一个 PublicKeyCredential 对象。

sameOriginWithAncestors

该参数是一个布尔值，只有当调用者的 环境设置对象 与其祖先 同源 时，值才为 true。

当调用此方法时，用户代理必须执行以下算法：

1. 返回一个 DOMException 其名称为 "NotSupportedError"， 并终止此算法。

调用 [[preventSilentAccess]](credential, sameOriginWithAncestors) 方法对需要 授权手势的认证器没有影响，但设置该标志可能会排除那些可以在没有用户干预的情况下操作的认证器。

这个内部方法不接受任何参数。

WebAuthn 依赖方使用此方法来确定他们是否可以使用用户验证平台认证器创建新凭证。 调用后，客户端使用 客户端平台特定过程发现可用的用户验证平台认证器。 如果发现任何认证器，promise 的值将解析为 true。 否则，promise 的值将解析为 false。 基于结果，依赖方可以采取进一步行动引导用户创建凭证。

此方法不接受任何参数，并返回一个布尔值。

partial interface PublicKeyCredential {
    static Promise<boolean> isUserVerifyingPlatformAuthenticatorAvailable();
};

注意： 从一个 浏览上下文 中调用此方法，而该上下文中的 Web 身份验证 API 根据 允许使用 算法被“禁用”，即通过权限策略，将导致 promise 被拒绝，并抛出 DOMException， 其名称为 "NotAllowedError"。 另见 § 5.9 权限策略集成。

✔MDN

AuthenticatorResponse/clientDataJSON

在所有当前引擎中可用。

Firefox60+Safari13+Chrome67+

---

Opera无Edge79+

---

Edge (旧版)18IE无

---

Firefox for Android60+iOS Safari13.3+Chrome for Android70+Android WebView70+Samsung Internet无Opera Mobile无

clientDataJSON, 类型为 ArrayBuffer, 只读

该属性包含 与 JSON 兼容的序列化 的客户端数据，其 散列值 是由客户端在调用 create() 或 get() 时传递给认证器的（即，客户端数据本身不会发送给认证器）。

clientDataJSON

此属性继承自AuthenticatorResponse，包含传递给身份验证器的JSON兼容的客户端数据序列化（见§ 6.5 声明），以生成此凭证。确切的JSON序列化必须保持不变，因为序列化客户端数据的哈希是基于它计算的。

✔MDN

AuthenticatorAttestationResponse/attestationObject

在所有当前引擎中。

Firefox60+Safari13+Chrome67+

---

Opera无Edge79+

---

Edge (Legacy)18IE无

---

Firefox for Android60+iOS Safari13.3+Chrome for Android70+Android WebView70+Samsung Internet10.0+Opera Mobile无

attestationObject，类型为ArrayBuffer，只读

此属性包含一个声明对象，该对象对于客户端是不可见的，并且在加密上受到保护，以防篡改。声明对象包含身份验证器数据和声明语句。前者包含AAGUID、唯一的凭证ID以及凭证公钥。声明语句的内容由声明语句格式决定，该格式由身份验证器使用。它还包含任何附加信息，该信息是依赖方的服务器所需的，以验证声明语句，以及解码和验证身份验证器数据和JSON兼容的客户端数据序列化。更多详细信息，请参见§ 6.5 声明、§ 6.5.4 生成声明对象和图6。

getTransports()

此操作返回[[transports]]的值。

getAuthenticatorData()

此操作返回包含在attestationObject中的身份验证器数据。有关详细信息，请参见§ 5.2.1.1 轻松访问凭证数据。

getPublicKey()

此操作返回新的凭证的DERSubjectPublicKeyInfo，如果不可用则返回null。有关详细信息，请参见§ 5.2.1.1 轻松访问凭证数据。

getPublicKeyAlgorithm()

此操作返回新凭证的COSEAlgorithmIdentifier。有关详细信息，请参见§ 5.2.1.1 轻松访问凭证数据。

[[transports]]

此内部插槽包含零个或多个唯一的DOMString的序列，按字典顺序排列。这些值是被认为由身份验证器支持的传输方式，如果信息不可用，则为一个空序列。这些值应为AuthenticatorTransport的成员，但依赖方必须忽略未知值。

clientDataJSON

从 AuthenticatorResponse 继承的该属性包含传递给认证器以生成该断言的 与 JSON 兼容的客户端数据序列化（见 § 5.8.1 用于 WebAuthn 签名的客户端数据（词典 CollectedClientData））。 必须保留精确的 JSON 序列化格式，因为已经计算了 已序列化客户端数据的哈希值。

✔MDN

AuthenticatorAssertionResponse/authenticatorData

在所有当前的引擎中。

Firefox60+Safari13+Chrome67+

---

OperaNoneEdge79+

---

Edge (Legacy)18IENone

---

Firefox for Android60+iOS Safari13.3+Chrome for Android70+Android WebView70+Samsung InternetNoneOpera MobileNone

authenticatorData, 类型为 ArrayBuffer，只读

该属性包含由认证器返回的 认证器数据。参见 § 6.1 认证器数据。

✔MDN

AuthenticatorAssertionResponse/signature

在所有当前的引擎中。

Firefox60+Safari13+Chrome67+

---

OperaNoneEdge79+

---

Edge (Legacy)18IENone

---

Firefox for Android60+iOS Safari13.3+Chrome for Android70+Android WebView70+Samsung InternetNoneOpera MobileNone

signature, 类型为 ArrayBuffer，只读

该属性包含由认证器返回的原始签名。参见 § 6.3.3 认证器获取断言操作。

✔MDN

AuthenticatorAssertionResponse/userHandle

在所有当前的引擎中。

Firefox60+Safari13+Chrome67+

---

OperaNoneEdge79+

---

Edge (Legacy)18IENone

---

Firefox for Android60+iOS Safari13.3+Chrome for Android70+Android WebView70+Samsung InternetNoneOpera MobileNone

userHandle, 类型为 ArrayBuffer，只读，可为空

该属性包含由认证器返回的 用户句柄，如果认证器未返回 用户句柄，则为 null。参见 § 6.3.3 认证器获取断言操作。

type, 类型为 DOMString

该成员指定要创建的凭证类型。值应为 PublicKeyCredentialType 的成员，但 客户端平台必须忽略未知的值，忽略任何具有未知 PublicKeyCredentialParameters 的 type。

alg, 类型为 COSEAlgorithmIdentifier

该成员指定新生成凭证将使用的加密签名算法，因此也指定了要生成的非对称密钥对的类型，例如 RSA 或椭圆曲线。

注意: 我们使用“alg”作为后一个成员名称，而不是拼出“algorithm”，因为它将被序列化为发给认证器的消息，这可能通过低带宽链接发送。

✔MDN

PublicKeyCredentialCreationOptions/rp

在所有当前引擎中。

Firefox60+Safari13+Chrome67+

---

Opera54+Edge79+

---

Edge (旧版)无IE无

---

Android 版 Firefox？iOS Safari13.3+Android 版 Chrome67+Android WebView无三星 Internet无Opera Mobile48+

rp, 类型为 PublicKeyCredentialRpEntity

此成员包含有关发出请求的 依赖方 的数据。

其值的 name 成员是必需的。有关详细信息，请参阅 § 5.4.1 公钥实体描述（字典 PublicKeyCredentialEntity）。

其值的 id 成员指定了应将凭证 限定 为的 RP ID。如果省略， 其值将是 CredentialsContainer 对象的 相关设置对象 的 来源 的 有效域。有关详细信息，请参阅 § 5.4.2 凭证生成的依赖方参数（字典 PublicKeyCredentialRpEntity）。

✔MDN

PublicKeyCredentialCreationOptions/user

在所有当前引擎中。

Firefox60+Safari13+Chrome67+

---

Opera54+Edge79+

---

Edge (旧版)无IE无

---

Android 版 Firefox？iOS Safari13.3+Android 版 Chrome67+Android WebView无三星 Internet无Opera Mobile48+

user, 类型 为 PublicKeyCredentialUserEntity

此成员包含有关 依赖方 请求 的用户帐户的 数据。

其值的 name、 displayName 和 id 成员是必需的。有关详细信息，请参阅 § 5.4.1 公钥实体描述（字典 PublicKeyCredentialEntity） 和 § 5.4.3 用户帐户凭证生成参数（字典 PublicKeyCredentialUserEntity）。

✔MDN

PublicKeyCredentialCreationOptions/challenge

在所有当前引擎中。

Firefox60+Safari13+Chrome67+

---

Opera54+Edge79+

---

Edge (旧版)无IE无

---

Android 版 Firefox？iOS Safari13.3+Android 版 Chrome67+Android WebView无三星 Internet无Opera Mobile48+

challenge, 类型为 BufferSource

此成员包含用于生成新创建的凭证的 证明对象 的挑战。有关安全性注意事项，请参阅 § 13.4.3 加密挑战。

✔MDN

PublicKeyCredentialCreationOptions/pubKeyCredParams

在所有当前引擎中。

Firefox60+Safari13+Chrome67+

---

Opera54+Edge79+

---

Edge (旧版)无IE无

---

Android 版 Firefox？iOS Safari13.3+Android 版 Chrome67+Android WebView无三星 Internet无Opera Mobile48+

pubKeyCredParams, 类型为 sequence<PublicKeyCredentialParameters>

此成员包含有关要创建的凭证所需属性的信息。序列按优先顺序排列，从最优先到最不优先。客户端 会尽力创建它所能创建的最优先凭证。

✔MDN

PublicKeyCredentialCreationOptions/timeout

在所有当前引擎中。

Firefox60+Safari13+Chrome67+

---

Opera54+Edge79+

---

Edge (旧版)无IE无

---

Android 版 Firefox？iOS Safari13.3+Android 版 Chrome67+Android WebView无三星 Internet无Opera Mobile48+

timeout, 类型为 unsigned long

此成员指定调用者愿意等待调用完成的时间，以毫秒为单位。这被视为提示，可能会被 客户端 覆盖。

✔MDN

PublicKeyCredentialCreationOptions/excludeCredentials

在所有当前引擎中。

Firefox60+Safari13+Chrome67+

---

Opera54+Edge79+

---

Edge (旧版)无IE无

---

Android 版 Firefox？iOS Safari13.3+Android 版 Chrome67+Android WebView无三星 Internet无Opera Mobile48+

excludeCredentials, 类型为 sequence<PublicKeyCredentialDescriptor>，默认为 []

此成员供希望限制在单个验证器上为同一帐户创建多个凭证的 依赖方 使用。如果新凭证将在已包含此参数中列出的凭证之一的验证器上创建，客户端 被请求返回错误。

✔MDN

PublicKeyCredentialCreationOptions/authenticatorSelection

在所有当前引擎中。

Firefox60+Safari13+Chrome67+

---

Opera54+Edge79+

---

Edge (旧版)无IE无

---

Android 版 Firefox？iOS Safari13.3+Android 版 Chrome67+Android WebView无三星 Internet无Opera Mobile48+

authenticatorSelection, 类型为 AuthenticatorSelectionCriteria

此成员供希望选择适当验证器参与 create() 操作的 依赖方 使用。

✔MDN

PublicKeyCredentialCreationOptions/attestation

在所有当前引擎中。

Firefox60+Safari13+Chrome67+

---

Opera54+Edge79+

---

Edge (旧版)无IE无

---

Android 版 Firefox？iOS Safari13.3+Android 版 Chrome67+Android WebView无三星 Internet无Opera Mobile48+

attestation, 类型为 DOMString，默认为 "none"

此成员供希望表达其对 证明传输 的偏好的 依赖方 使用。其值应为 AttestationConveyancePreference 的成员。客户端平台 必须忽略未知值，将未知值视为 成员不存在。 其默认值为 "none"。

extensions, 类型为 AuthenticationExtensionsClientInputs

此成员包含请求客户端和验证器执行额外处理的附加参数。例如，调用者可以请求仅使用具有某些能力的验证器来创建凭证，或请求在 证明对象 中返回特定信息。一些扩展定义在 § 9 WebAuthn 扩展 中；有关最新注册 WebAuthn 扩展 的列表，请参阅由 [RFC8809] 建立的 IANA "WebAuthn 扩展标识符" 注册表 [IANA-WebAuthn-Registries]。

name， 类型为 DOMString

实体的人类可读名称。其功能取决于PublicKeyCredentialEntity 所表示的内容：

• 当被继承自 PublicKeyCredentialRpEntity 时，它是一个 人类可读 的标识符，用于 依赖方，仅供显示。例如，“ACME Corporation”、“Wonderful Widgets, Inc.” 或 “ОАО Примертех”。

  • 依赖方 应该执行强制措施，如在 [RFC8266] 的第2.3节中规定的，对于PRECIS FreeformClass 的昵称配置文件 [RFC8264]，在设置 name 的值或向用户显示该值时。

  • 该字符串可能包含语言和方向元数据。 依赖方 应该考虑提供此信息。有关如何编码这些元数据，请参见 § 6.4.2 语言和方向编码。

  • 客户端 应该执行强制措施，如在 [RFC8266] 的第2.3节中规定的，对于PRECIS FreeformClass 的昵称配置文件 [RFC8264]，在显示 name 的值之前，或将该值作为 authenticatorMakeCredential 操作的参数包含时。

• 当被继承自 PublicKeyCredentialUserEntity 时，它是一个 人类可读 的标识符，用于用户帐户。它仅供显示，即帮助用户确定相似 displayName 的用户帐户之间的差异。例如，“alexm”、“alex.mueller@example.com” 或 “+14255551234”。

  • 依赖方 可能允许用户选择此值。 依赖方 应该执行强制措施，如在 [RFC8265] 第3.4.3节中规定的，对于PRECIS IdentifierClass 的用户名大小写保留配置文件 [RFC8264]，在设置 name 的值或向用户显示该值时。

  • 该字符串可能包含语言和方向元数据。 依赖方 应该考虑提供此信息。有关如何编码这些元数据，请参见 § 6.4.2 语言和方向编码。

  • 客户端应根据[RFC8265]第3.4.3节中关于PRECIS IdentifierClass的UsernameCasePreserved配置文件的规定，执行对name值的强制措施，方法是在向用户显示该值或将该值作为authenticatorMakeCredential操作的参数包含之前进行。

当客户端、客户端平台或身份验证器显示name的 值时，他们应始终使用UI元素为显示的值提供清晰的边界，并且不允许溢出到其他元素[css-overflow-3]。

身份验证器可以截断name 成员的值，使其适合64字节内，如果身份验证器存储该值。有关截断和其他考虑事项，请参见§ 6.4.1 字符串截断。

id, 类型为 DOMString

用于设置 RP ID 的 依赖方 实体的唯一标识符。

id, 类型为 BufferSource

用户帐户实体的 用户句柄。用户句柄 是一个不透明的 字节序列，最大大小为 64 字节，且不打算显示给用户。

为了确保安全操作，身份验证和授权决策必须基于此 id 成员，而不是 displayName 或 name 成员。请参见 [RFC8266] 第 6.1 节。

用户句柄不得包含用户的个人身份信息，例如用户名或电子邮件地址；详情请参见 § 14.6.1 用户句柄内容。用户句柄 不得为空，但可以为 null。

注意： 用户句柄 不应 在不同帐户之间保持常量值，即使是对于 不可发现的凭据，因为某些身份验证器始终创建 可发现的凭据。因此，常量的 用户句柄 将阻止用户在同一 依赖方 上使用此类身份验证器与多个帐户配合使用。

displayName, 类型为 DOMString

用户帐户的 易理解 名称，仅用于显示。例如，“Alex Müller” 或 “田中倫”。依赖方 应允许用户选择此名称，并且不应限制选择超过必要范围。

• 依赖方 应进行强制检查，按照 [RFC8266] 的第 2.3 节规定的 Nickname Profile of the PRECIS FreeformClass [RFC8264]，在设置 displayName 的值时，或在显示该值给用户时。

• 此字符串可以包含语言和方向元数据。依赖方 应考虑提供此信息。关于此元数据如何编码，请参见 § 6.4.2 语言和方向编码。

• 客户端 应进行强制检查，按照 [RFC8266] 的第 2.3 节规定的 Nickname Profile of the PRECIS FreeformClass [RFC8264]， 在显示 displayName 值给用户之前，或在 authenticatorMakeCredential 操作的参数中包含该值之前进行检查。

当 客户端，客户端平台，或 验证器 显示 displayName 的值时，应该始终使用 UI 元素提供明确的边界，并且不要允许溢出到其他元素 [css-overflow-3]。

验证器 必须接受并存储至少 64 字节长度的 displayName 成员值。验证器可以截断 displayName 成员值，使其适应 64 字节的长度。关于截断及其他注意事项的详细信息，请参阅 § 6.4.1 字符串截断。

authenticatorAttachment, 类型为 DOMString

如果此成员存在，符合条件的身份验证器将仅限于附加有指定的 § 5.4.5 身份验证器附加枚举 (enum AuthenticatorAttachment) 的身份验证器。该值应该是 AuthenticatorAttachment 的成员，但 客户端平台 必须忽略未知值，将未知值视为 成员不存在。

residentKey, 类型为 DOMString

指定 依赖方 希望创建 客户端可发现的凭证 的程度。出于历史原因，命名保留了已弃用的“resident”术语。该值应该是 ResidentKeyRequirement 的成员，但 客户端平台 必须忽略未知值，将其视为 成员不存在。如果未给出任何值，则有效值为 required，如果 requireResidentKey 为 true，或者如果它是 false 或缺失，则为 discouraged。

请参见 ResidentKeyRequirement，了解 residentKey 的值和语义。

requireResidentKey, 类型为 boolean，默认为 false

此成员保留用于与 WebAuthn Level 1 的向后兼容性，并且出于历史原因，其命名保留了已弃用的“resident”术语，用于 可发现凭证。 依赖方 应仅在 residentKey 设置为 required 时，将其设置为 true。

userVerification, 类型为 DOMString，默认为 "preferred"

此成员描述 依赖方 对 用户验证 的要求，适用于 create() 操作。符合条件的身份验证器将仅限于能够满足此要求的身份验证器。该值应为 UserVerificationRequirement 的成员，但 客户端平台 必须忽略未知值，将其视为 成员不存在。

platform

此值表示平台附件。

cross-platform

此值表示跨平台附件。

discouraged

此值表示依赖方更倾向于创建服务器端凭证，但会接受客户端可发现的凭证。

注意: 依赖方不能要求创建的凭证必须是服务器端凭证，而凭证属性扩展可能不会返回rk属性的值。因此，依赖方可能无法知道凭证是否为服务器端凭证，也无法知道是否创建了具有相同用户句柄的第二个凭证会将第一个凭证移除。

preferred

此值表示依赖方强烈倾向于创建客户端可发现的凭证，但会接受服务器端凭证。例如，如果需要创建客户端可发现的凭证，用户代理应引导用户设置用户验证。在这种情况下，这优先于userVerification的设置。

required

此值表示依赖方要求创建一个客户端可发现的凭证，并且如果无法创建客户端可发现的凭证，则会接受错误。

none

此值表示 依赖方 对 认证器 证明 不感兴趣。例如，为了 潜在避免获取 用户同意 将识别信息传递给 依赖方，或节省一次 与 证明CA 或 匿名化CA 的往返。

这是默认值。

indirect

此值表示 依赖方 偏好通过传递可验证的 证明 来获取 证明声明，但允许客户端决定如何获取这些 证明声明。 客户端可以将认证器生成的 证明声明 替换为由 证明声明，由 匿名化CA 生成，以保护用户隐私，或帮助 依赖方 在异构生态系统中进行证明验证。

注意： 在这种情况下，不能保证 依赖方 会获得可验证的 证明声明。例如，在认证器使用 自我证明 的情况下。

direct

此值表示 依赖方 希望接收由 认证器 生成的 证明声明。

enterprise

此值表示 依赖方 希望接收可能包含唯一标识信息的 证明声明。 这适用于企业内部的受控部署，其中组织希望将注册与特定认证器绑定。除非用户代理或认证器配置允许为请求的 RP ID 提供此类证明，否则用户代理不得提供此类证明。

如果允许，用户代理应在 调用时 向认证器发出请求企业证明的信号，并将生成的 AAGUID 和 证明声明 不做更改地传递给 依赖方。

type, 类型 DOMString

当创建新凭证时，此成员包含字符串"webauthn.create"，当从现有凭证获取断言时，包含字符串"webauthn.get"。此成员的目的是防止某些类型的签名混淆攻击（攻击者将一个合法签名替换为另一个）。

challenge, 类型 DOMString

此成员包含依赖方提供的挑战的 base64url 编码。见§ 13.4.3 加密挑战安全注意事项。

origin, 类型 DOMString

此成员包含请求者的完全限定的来源，由客户端提供给认证器，格式为[RFC6454]定义的语法。

crossOrigin, 类型 boolean

此成员包含传递给内部方法的sameOriginWithAncestors参数值的反值。

tokenBinding, 类型 TokenBinding

此可选成员包含关于与依赖方通信时使用的令牌绑定协议[TokenBinding]状态的信息。它的缺失表示客户端不支持令牌绑定。

status, 类型 DOMString

此成员应该是TokenBindingStatus的成员，但客户端平台必须忽略未知的值，将未知的值视为tokenBinding 成员不存在。已知时，此成员是以下之一：

supported

表示客户端支持令牌绑定，但在与依赖方通信时未协商使用。

present

表示在与依赖方通信时使用了令牌绑定。在这种情况下，必须存在id成员。

注意： TokenBindingStatus枚举故意不被引用，见§ 2.1.1 枚举作为 DOMString 类型。

id, 类型 DOMString

如果status为present，则此成员必须存在，并且必须是使用与依赖方通信时使用的令牌绑定 ID的base64url 编码。

注意：获取令牌绑定 ID是客户端平台的特定操作。

客户端使用CollectedClientData结构来计算以下数量：

客户端数据的 JSON 兼容序列化

这是对CollectedClientData字典执行JSON 兼容序列化算法的结果。

序列化客户端数据的哈希值

这是客户端构造的客户端数据 JSON 兼容序列化的哈希值（使用 SHA-256 计算）。

当前定义了一个凭证类型，即“public-key”。

type, 类型为 DOMString

此成员包含调用者引用的公钥凭证的类型。该值应为PublicKeyCredentialType的成员，但客户端平台必须忽略任何具有未知类型的PublicKeyCredentialDescriptor。

id, 类型为 BufferSource

此成员包含调用者引用的公钥凭证的凭证ID。

transports, 类型为 sequence<DOMString>

此可选成员包含指示客户端如何与调用者引用的公钥凭证的管理认证器通信的提示。该值应为AuthenticatorTransport的成员，但客户端平台必须忽略未知值。

getTransports()操作可以为此成员提供适当的值。 在注册新凭证时，依赖方应存储getTransports()返回的值。 当为该凭证创建PublicKeyCredentialDescriptor时， 依赖方应检索该存储的值并将其设置为transports成员的值。

usb

表示相应的 身份验证器 可以通过可移动USB连接。

nfc

表示相应的 身份验证器 可以通过近场通信 (NFC) 连接。

ble

表示相应的 身份验证器 可以通过蓝牙智能 (蓝牙低能耗 / BLE) 连接。

internal

表示相应的 身份验证器 是通过特定于 客户端设备 的传输方式进行连接的，即它是一个 平台身份验证器。这些身份验证器不能从 客户端设备 中移除。

COSE 算法注册表允许在 COSE 密钥中由其他参数指定的自由度。为了促进互操作性，本规范对凭证公钥做出以下额外保证：

1. 使用算法 ES256 (-7) 的密钥必须将 P-256 (1) 指定为 crv 参数，且不得使用压缩点形式。

2. 使用算法 ES384 (-35) 的密钥必须将 P-384 (2) 指定为 crv 参数，且不得使用压缩点形式。

3. 使用算法 ES512 (-36) 的密钥必须将 P-521 (3) 指定为 crv 参数，且不得使用压缩点形式。

4. 使用算法 EdDSA (-8) 的密钥必须将 Ed25519 (6) 指定为 crv 参数。（这些在 COSE 中总是使用压缩形式。）

required

此值表示依赖方要求在操作中进行用户验证，如果响应中未设置UV 标志，则操作将失败。

preferred

此值表示依赖方更喜欢在操作中进行用户验证，但如果响应中未设置UV 标志，操作也不会失败。

discouraged

此值表示依赖方不希望在操作中使用用户验证（例如，为了尽量减少对用户交互流程的干扰）。