Web 身份验证：
用于访问公钥凭证的 API
第 3 级

通过将 options.mediation 设为 conditional， Relying Parties 可以表明如果用户已同意创建凭证，则希望在不显示显著模态 UI 的情况下注册凭证。 Relying Party 应先使用 getClientCapabilities() 检查 client 是否支持 conditionalCreate 功能，以避免在该功能不可用时出现面向用户的错误。 当 options.mediation 被设置为 conditional 时，客户端必须将 requireUserPresence 和 requireUserVerification 都设置为 FALSE，除非这些项可以在仪式期间显式执行。

任何 navigator.credentials.create() 操作都可以通过利用 AbortController 被中止；详见 DOM § 3.3 使用 AbortController 和 AbortSignal 对象 获取详细说明。

此内部方法接受三个参数：

origin

此参数是由调用 create() 实现确定的相关设置对象（relevant settings object）的 origin。

options

此参数是一个 CredentialCreationOptions 对象，其 options.publicKey 成员包含一个 PublicKeyCredentialCreationOptions 对象，用以指定待创建的 public key credential 的期望属性。

sameOriginWithAncestors

此参数是一个布尔值，当且仅当调用者的 environment settings object 与其祖先同源（same-origin with its ancestors）时为 true。如果调用者为跨源，则为 false。

注意： 调用此内部方法 表示该操作已被 permissions policy 允许，该权限策略在 [CREDENTIAL-MANAGEMENT-1] 级别进行评估。参见 § 5.9 Permissions Policy integration。

注意： 该算法为同步执行： Promise 的解析/拒绝由 navigator.credentials.create() 负责。

在此算法中使用的所有 BufferSource 对象必须在算法开始时进行快照，以避免潜在的同步问题。实现应当 获取缓冲源所持字节的副本 并在算法相关部分使用该副本。

当此方法被调用时，用户代理必须执行下列算法：

1. 断言： options.publicKey 存在。

2. 如果 sameOriginWithAncestors 为 false：

   1. 如果 options.mediation 存在且值为 conditional：

      1. 抛出一个 "NotAllowedError" DOMException

   2. 如果调用 create() 的实现所确定的相关全局对象（relevant global object）不具有 瞬时激活（transient activation）：

      1. 抛出一个 "NotAllowedError" DOMException。

   3. 对相关全局对象执行 Consume user activation 操作。

   4. 如果创建凭证的 origin 与相关全局对象的顶层 origin（top-level origin）不同（即与用户在地址栏看到的 origin 不同）， 则 client 应向用户明确说明此事实。

3. 令 pkOptions 为 options.publicKey 的值。

4. 如果 pkOptions.timeout 存在，则检查其值是否在由 client 定义的合理范围内；若不在，则修正为最接近且位于该范围内的值。将定时器 lifetimeTimer 设为此调整后值。如果 pkOptions.timeout 不存在，则将 lifetimeTimer 设为 client-特定的默认值。

   关于为 pkOptions.timeout 决定合理范围和值的指导，请参阅 推荐范围和默认值。

   client 应在为有特殊需要的用户考虑超时时采用认知方面的指导原则。

5. 如果 pkOptions.user.id 的长度不在 1 到 64 字节（含）之间，则抛出一个 TypeError。

6. 令 callerOrigin 为 origin。 如果 callerOrigin 为 opaque origin，则抛出一个 "NotAllowedError" DOMException。

7. 令 effectiveDomain 为 callerOrigin 的 effective domain。 如果该 effective domain 不是一个 valid domain，则抛出一个 "SecurityError" DOMException。

   注意： 一个 effective domain 可能解析为一个 host，而 host 可以以多种方式表示，例如 domain、ipv4 address、ipv6 address、opaque host 或 empty host。 此处仅允许 domain 格式的表示。这样做既为简化，也考虑到在与基于 PKI 的安全结合使用时直接使用 IP 地址识别所带来的各种问题。

8. 如果 pkOptions.rp.id

   存在

   如果 pkOptions.rp.id 不是 effectiveDomain 的可注册域后缀且与其不相等，且客户端

   支持 related origin requests

   1. 令 rpIdRequested 为 pkOptions.rp.id 的值。

   2. 使用参数 callerOrigin 和 rpIdRequested 运行 related origins validation procedure。如果结果为 false，则抛出一个 "SecurityError" DOMException。

   不支持 related origin requests

   抛出一个 "SecurityError" DOMException。

   不存在

   将 pkOptions.rp.id 设为 effectiveDomain。

   注意： pkOptions.rp.id 表示调用者的 RP ID。除非调用者在调用 create() 时明确设置了 pkOptions.rp.id，否则 RP ID 默认为调用者的 origin 的 effective domain。

9. 令 credTypesAndPubKeyAlgs 为一个新的列表，该列表的条目为 PublicKeyCredentialType 与 COSEAlgorithmIdentifier 的配对。

10. 如果 pkOptions.pubKeyCredParams 的 大小

    为零

    Append 下列 PublicKeyCredentialType 与 COSEAlgorithmIdentifier 配对添加到 credTypesAndPubKeyAlgs：

    • public-key 与 -7（"ES256"）。

    • public-key 与 -257（"RS256"）。

    非零

    对 pkOptions.pubKeyCredParams 的每个项 current 执行下列操作：

    1. 如果 current.type 不包含此实现所支持的 PublicKeyCredentialType， 则 继续下一个项。

    2. 令 alg 为 current.alg。

    3. Append current.type 与 alg 的配对到 credTypesAndPubKeyAlgs。

    如果 credTypesAndPubKeyAlgs 为空，则抛出一个 "NotSupportedError" DOMException。

11. 令 clientExtensions 为一个新的 map，并令 authenticatorExtensions 为一个新的 map。

12. 如果 pkOptions.extensions 存在，则对 pkOptions.extensions 中的每个 extensionId → clientExtensionInput 执行下列操作：

    1. 如果 extensionId 不被此 client platform 支持，或不是一个 registration extension，则 继续下一个扩展。

    2. 将 clientExtensions[extensionId] 设置为 clientExtensionInput。

    3. 如果 extensionId 不是一个 authenticator extension，则 继续下一个扩展。

    4. 令 authenticatorExtensionInput 为对 clientExtensionInput 运行该 extensionId 的 client extension processing 算法后得到的（CBOR）结果。如果该算法返回错误，则 继续下一个扩展。

    5. 将 authenticatorExtensions[extensionId] 设置为 authenticatorExtensionInput 的 base64url 编码。

13. 令 collectedClientData 为一个新的 CollectedClientData 实例，其字段为：

    type

    字符串 "webauthn.create"。

    challenge

    pkOptions.challenge 的 base64url 编码。

    origin

    callerOrigin 的 序列化表示。

    crossOrigin

    此值为传入此内部方法 的参数 sameOriginWithAncestors 的值的反值（inverse）。

    topOrigin

    如果传入的 sameOriginWithAncestors 参数为 false，则为 callerOrigin 的顶层 origin 的 序列化表示，否则为 undefined。

14. 令 clientDataJSON 为由 collectedClientData 构造的 与 JSON 兼容的客户端数据序列化。

15. 令 clientDataHash 为由 clientDataJSON 表示的序列化客户端数据的哈希，参见 说明。

16. 如果 options.signal 存在且 已中止（aborted），则抛出该 signal 的 中止原因（abort reason）。

17. 令 issuedRequests 为新的 有序集合（ordered set）。

18. 令 authenticators 表示一个值，该值在任一时刻为一个有序集合，其中的每个项标识在该时刻此 client platform 上当前可用的一个 authenticator 的本地句柄（handle）。

    注意： 何谓“可用的”authenticator 未作具体规定；这旨在表示 authenticators 可通过多种机制被 client 热插拔（hot-plug，如 USB）或被发现（如 NFC 或蓝牙），或永久内置于 client 中。

19. 如果 options.mediation 存在且值为 conditional：

    1. 如果用户代理最近没有进行过调停的认证、所述认证的来源不是 callerOrigin，或用户不同意此类凭证创建，则抛出一个 "NotAllowedError" DOMException。

       由用户代理决定何时认为某次认证仪式已完成。该认证仪式可以通过 Web Authentication API 之外的其它方式完成。

20. 根据 hints 的值并由用户代理酌情设计用户界面。

21. 启动 lifetimeTimer。

22. 当 lifetimeTimer 未到期时，根据 lifetimeTimer 以及 authenticators 中每个 authenticator 的状态与响应，执行下列操作：

    如果 lifetimeTimer 到期，

    对 issuedRequests 中的每个 authenticator 调用 authenticatorCancel 操作，并将该 authenticator 从 issuedRequests 中移除。

    如果用户在用户代理 UI 中选择取消该过程，

    对 issuedRequests 中的每个 authenticator 调用 authenticatorCancel 操作，并从 issuedRequests 中移除该 authenticator。然后抛出一个 "NotAllowedError" DOMException。

    如果 options.signal 存在且 已中止，

    对 issuedRequests 中的每个 authenticator 调用 authenticatorCancel 并将其从 issuedRequests 中移除。然后抛出该 signal 的中止原因（abort reason）。

    如果某个 authenticator 在此 client device 上变为可用，

    注意： 这也包括在启动 lifetimeTimer 时认证器已可用的情况。

    1. 该 authenticator 现在为 候选认证器（candidate authenticator）。

    2. 如果 pkOptions.authenticatorSelection 存在：

       1. 如果 pkOptions.authenticatorSelection.authenticatorAttachment 存在且其值与该 authenticator 的 attachment modality 不符，则 继续（跳过此认证器）。

       2. 如果 pkOptions.authenticatorSelection.residentKey

          若存在且设为 required

          如果该 authenticator 无法存储一个 client-side discoverable public key credential source，则 继续（跳过此认证器）。

          若存在且设为 preferred 或 discouraged

          无影响。

          若不存在

          如果 pkOptions.authenticatorSelection.requireResidentKey 被设置为 true 且该 authenticator 无法存储 client-side discoverable public key credential source，则 继续（跳过此认证器）。

       3. 如果 pkOptions.authenticatorSelection.userVerification 被设置为 required 且该 authenticator 无法执行 user verification，则 继续（跳过此认证器）。

    3. 令 requireResidentKey 为 用于凭证创建的有效 resident key 要求，为布尔值，按如下规则决定：

       如果 pkOptions.authenticatorSelection.residentKey

       存在且设为 required

       令 requireResidentKey 为 true。

       存在且设为 preferred

       如果该 authenticator

       支持 client-side credential storage modality

       令 requireResidentKey 为 true。

       不支持 client-side credential storage modality，或客户端无法确定认证器能力，

       令 requireResidentKey 为 false。

       存在且设为 discouraged

       令 requireResidentKey 为 false。

       不存在

       令 requireResidentKey 为 pkOptions.authenticatorSelection.requireResidentKey 的值。

    4. 令 userVerification 为 用于凭证创建的有效 user verification 要求，为布尔值，按如下规则决定。如果 pkOptions.authenticatorSelection.userVerification

       设为 required

       1. 如果 options.mediation 被设置为 conditional 且在仪式期间无法收集到 user verification，则抛出一个 ConstraintError DOMException。

       2. 令 userVerification 为 true。

       设为 preferred

       如果该 authenticator

       能够执行 user verification

       令 userVerification 为 true。

       不能执行 user verification

       令 userVerification 为 false。

       设为 discouraged

       令 userVerification 为 false。

    5. 令 enterpriseAttestationPossible 为布尔值，如下决定。如果 pkOptions.attestation

       被设为 enterprise

       如果用户代理希望为 pkOptions.rp.id 支持企业级 attestation（参见步骤 8），则令 enterpriseAttestationPossible 为 true，否则为 false。

       其它情况

       令 enterpriseAttestationPossible 为 false。

    6. 令 attestationFormats 为一个字符串列表，其初始值为 pkOptions.attestationFormats 的值。

    7. 如果 pkOptions.attestation

       被设为 none

       将 attestationFormats 设为仅包含字符串 “none” 的单元素列表。

    8. 令 excludeCredentialDescriptorList 为一个新的 列表。

    9. 对 pkOptions.excludeCredentials 中的每个凭证描述符 C 执行：

       1. 如果 C.transports 非空，且该 authenticator 是通过一个不在 C.transports 列表中的传输方式连接的，则客户端可以选择 继续（跳过）。

          注意： 若客户端选择 继续，这可能导致在同一认证器上意外注册多个绑定到同一 bound 的凭证，如果存储的传输提示（transports）并不准确。例如，软件升级可能添加新的连接选项，从而使先前存储的传输提示变得不准确。

       2. 否则，将 C 追加 到 excludeCredentialDescriptorList。

    10. 在该 authenticator 上调用 authenticatorMakeCredential 操作，参数为 clientDataHash、 pkOptions.rp、 pkOptions.user、 requireResidentKey、userVerification、 credTypesAndPubKeyAlgs、excludeCredentialDescriptorList、 enterpriseAttestationPossible、attestationFormats 和 authenticatorExtensions。

    11. 将该 authenticator 追加 到 issuedRequests。

    如果某个 authenticator 在此 client device 上不再可用，

    从 issuedRequests 中 移除 该 authenticator。

    如果任何 authenticator 返回表示用户取消操作的状态，

    1. 从 issuedRequests 中 移除 该 authenticator。

    2. 对 issuedRequests 中的每个剩余 authenticator 调用 authenticatorCancel 并将其从 issuedRequests 中移除。

       注意： Authenticators 可能返回一个指示“用户取消了整个操作”的状态。用户代理如何向用户呈现该状态未在本规范中规定。

    如果任何 authenticator 返回等同于 "InvalidStateError" 的错误状态，

    1. 从 issuedRequests 中 移除 该 authenticator。

    2. 对 issuedRequests 中的每个剩余 authenticator 调用 authenticatorCancel 并将其从 issuedRequests 中移除。

    3. 抛出一个 "InvalidStateError" DOMException。

    注意： 该错误状态单独处理的原因在于，authenticator 仅在 excludeCredentialDescriptorList 标识了绑定到该 authenticator 的凭证且用户已对该操作表示了 同意 时才返回此错误。鉴于此明确同意，将此情况向 Relying Party 区分是可接受的。

    如果任何 authenticator 返回的错误状态不等同于 "InvalidStateError",

    从 issuedRequests 中 移除 该 authenticator。

    注意： 该情况并不意味着对该操作存在 用户同意，因此为避免泄露可能识别用户的信息，有关错误的详情会对 Relying Party 隐藏。详见 § 14.5.1 Registration Ceremony Privacy。

    如果任何 authenticator 指示成功，

    1. 将该 authenticator 从 issuedRequests 中 移除。该认证器现在为 选定认证器（selected authenticator）。

    2. 令 credentialCreationData 为一个 struct，其 items 包括：

       attestationObjectResult

       其值为从成功的 authenticatorMakeCredential 操作返回的字节。

       注意： 此值即在 § 6.5.4 Generating an Attestation Object 中定义的 attObj。

       clientDataJSONResult

       其值为 clientDataJSON 的字节。

       attestationConveyancePreferenceOption

       其值为 pkOptions.attestation 的值。

       clientExtensionResults

       其值为一个 AuthenticationExtensionsClientOutputs 对象，包含 扩展标识符 → 客户端扩展输出 的条目。这些条目是对 pkOptions.extensions 中的每个客户端扩展运行其 client extension processing 算法以创建对应的客户端扩展输出而生成的。

    3. 令 constructCredentialAlg 为一个算法，该算法接受一个全局对象 global，其步骤如下：

       1. 如果 credentialCreationData.attestationConveyancePreferenceOption 的值为：

          none

          用非识别性（non-identifying）版本替换可能具有唯一识别性的字段：

          1. 如果 attested credential data 中的 aaguid 为 16 个零字节， 并且 credentialCreationData.attestationObjectResult.fmt 为 "packed"，且 "x5c" 在 credentialCreationData.attestationObjectResult 中缺失， 则正在使用 self attestation，无需进一步操作。

          2. 否则：

             1. 将 credentialCreationData.attestationObjectResult.fmt 的值设为 "none"，并将 credentialCreationData.attestationObjectResult.attStmt 的值设为一个空的 CBOR map。（参见 § 8.7 None Attestation Statement Format 与 § 6.5.4 Generating an Attestation Object）。

          indirect

          客户端可以用更有利于隐私或更易验证的版本替换 aaguid 与 attestation statement（例如，采用 Anonymization CA）。

          direct 或 enterprise

          不作修改地将认证器的 AAGUID 及 attestation statement 传送给 Relying Party。

       2. 令 attestationObject 为新的 ArrayBuffer， 使用 global 的 %ArrayBuffer% 创建， 包含 credentialCreationData.attestationObjectResult 的字节。

       3. 令 id 为 attestationObject.authData.attestedCredentialData.credentialId。

       4. 令 pubKeyCred 为新的 PublicKeyCredential 对象（与 global 关联），其字段为：

          [[identifier]]

          id

          authenticatorAttachment

          与该 authenticator 当前 attachment modality 相匹配的 AuthenticatorAttachment 值。

          response

          一个新的与 global 关联的 AuthenticatorAttestationResponse 对象，其字段为：

          clientDataJSON

          一个新的 ArrayBuffer， 使用 global 的 %ArrayBuffer% 构造方法创建，内容为 credentialCreationData.clientDataJSONResult 的字节。

          attestationObject

          attestationObject

          [[transports]]

          一个按字典序排列的不重复 DOMString 序列，表示认为 authenticator 支持的传输方式。 这些值应属于 AuthenticatorTransport， 但客户端平台必须忽略未知值。

          如果用户代理不希望泄露此信息，则可以用任意设计用于保护隐私的序列替代。该序列仍必须有效，即按字典序排序且无重复项。例如可使用空序列。不论如何，这种情况下用户代理需承担服务接受方行为不佳的风险。

          如果用户代理没有任何传输信息，应将该字段设为空序列。

          注意：用户代理如何发现某个认证器支持的传输方式，超出本规范范围，但可包括来自 证明证书（如 [FIDO-Transports-Ext]）、CTAP2 等 认证器 协议中的元数据或针对某些平台认证器的特殊知识。

          [[clientExtensionsResults]]

          一个新的 ArrayBuffer， 使用 global 的 %ArrayBuffer% 创建， 包含 credentialCreationData.clientExtensionResults 的字节。

       5. 返回 pubKeyCred。

    4. 对 issuedRequests 中的每个剩余 authenticator 调用 authenticatorCancel 并将其从 issuedRequests 中移除。

    5. 返回 constructCredentialAlg 并终止该算法。

23. 抛出一个 "NotAllowedError" DOMException。

在上述过程中，用户代理应向用户显示某些 UI 以指导其选择并授权认证器。当 options.mediation 被设置为 conditional 时， 除非凭证创建已通过用户代理确定的手段先前获得同意，否则不应显示显著的模态 UI。

该内部方法接受三个参数：

origin

该参数是由调用 get() 实现确定的相关设置对象（relevant settings object） 的 origin，即 CredentialsContainer 的 Request a Credential 抽象操作所确定的 origin。

options

该参数是一个 CredentialRequestOptions 对象，其 options.publicKey 成员包含一个 PublicKeyCredentialRequestOptions 对象，用于指定要发现的 public key credential 的期望属性。

sameOriginWithAncestors

该参数为布尔值，当且仅当调用者的 environment settings object 与其祖先同源（same-origin with its ancestors）时为 true。如果调用者为跨源，则为 false。

注意： 调用此内部方法 表示该操作已被permissions policy 允许，该权限策略在 [CREDENTIAL-MANAGEMENT-1] 级别进行评估。参见 § 5.9 Permissions Policy integration。

注意： 该算法为同步执行： Promise 的解析/拒绝由 navigator.credentials.get() 负责。

在此算法中使用的所有 BufferSource 对象必须在算法开始时进行快照，以避免潜在的同步问题。实现应当 获取缓冲源所持字节的副本 并在算法相关部分使用该副本。

当此方法被调用时，用户代理必须执行下列算法：

1. 断言： options.publicKey 存在。

2. 令 pkOptions 为 options.publicKey 的值。

3. 如果 options.mediation 存在且值为 conditional：

   1. 令 credentialIdFilter 为 pkOptions.allowCredentials 的值。

   2. 将 pkOptions.allowCredentials 设为 空。

      注意： 这样可以防止在 conditional 请求期间使用 non-discoverable credentials。

   3. 将定时器 lifetimeTimer 设为无穷大。

      注意： 将 lifetimeTimer 设为无穷大，是为了让用户在整个 Document 的生命周期内与任何带有 "webauthn" autofill detail token 的 input 表单控件进行交互。例如，当用户点击此类输入字段时，用户代理可以渲染已发现凭证的列表供用户选择，并可能提供“尝试其他方式”的选项。

4. 否则：

   1. 令 credentialIdFilter 为一个 空 列表。

   2. 如果 pkOptions.timeout 存在，则检查其值是否在由 client 定义的合理范围内；若不在，则修正为最接近且位于该范围内的值。 将定时器 lifetimeTimer 设为此调整后值。如果 pkOptions.timeout 不存在，则将 lifetimeTimer 设为 client-特定的默认值。

      关于为 pkOptions.timeout 决定合理范围和值的指导，请参阅 推荐范围和默认值。

      用户代理应在为有特殊需要的用户考虑超时时采用认知方面的指导原则。

5. 令 callerOrigin 为 origin。 如果 callerOrigin 为 opaque origin，则抛出一个 "NotAllowedError" DOMException。

6. 令 effectiveDomain 为 callerOrigin 的 effective domain。 如果该 effective domain 不是一个 有效域名，则抛出一个 "SecurityError" DOMException。

   注意： 一个 effective domain 可能解析为一个 host，而 host 可以以多种方式表示，例如 domain、ipv4 address、ipv6 address、opaque host 或 empty host。 此处仅允许 domain 格式的表示。这样做既为简化，也考虑到在与基于 PKI 的安全结合使用时直接使用 IP 地址识别所带来的各种问题。

7. 如果 pkOptions.rpId

   存在

   如果 pkOptions.rpId 不是 effectiveDomain 的可注册域后缀且与其不相等，且客户端支持：

   支持 related origin requests

   1. 令 rpIdRequested 为 pkOptions.rpId 的值。

   2. 使用参数 callerOrigin 和 rpIdRequested 运行 related origins validation procedure。如果结果为 false，则抛出一个 "SecurityError" DOMException。

   不支持 related origin requests

   抛出一个 "SecurityError" DOMException。

   不存在

   将 pkOptions.rpId 设为 effectiveDomain。

   注意： rpId 表示调用者的 RP ID。除非调用者在调用 get() 时明确设置了 pkOptions.rpId，否则 RP ID 默认为调用者的 origin 的 origin 的 effective domain。

8. 令 clientExtensions 为一个新的 map，并令 authenticatorExtensions 为一个新的 map。

9. 如果 pkOptions.extensions 存在，则对 pkOptions.extensions 中的每个 extensionId → clientExtensionInput 执行：

   1. 如果 extensionId 不被此 client platform 支持，或不是一个 authentication extension，则 继续下一个扩展。

   2. Set clientExtensions[extensionId] 为 clientExtensionInput。

   3. 如果 extensionId 不是一个 authenticator extension，则 继续下一个扩展。

   4. 令 authenticatorExtensionInput 为对 clientExtensionInput 运行该 extensionId 的 client extension processing 算法后得到的（CBOR）结果。如果该算法返回错误，则 继续下一个扩展。

   5. Set authenticatorExtensions[extensionId] 为 authenticatorExtensionInput 的 base64url 编码。

10. 令 collectedClientData 为一个新的 CollectedClientData 实例，其字段为：

    type

    字符串 "webauthn.get"。

    challenge

    pkOptions.challenge 的 base64url 编码。

    origin

    callerOrigin 的 序列化表示。

    crossOrigin

    此值为传入此内部方法 的参数 sameOriginWithAncestors 的反值（inverse）。

    topOrigin

    如果传入的 sameOriginWithAncestors 参数为 false，则为 callerOrigin 的顶层 origin 的 序列化表示，否则为 undefined。

11. 令 clientDataJSON 为由 collectedClientData 构造的 与 JSON 兼容的客户端数据序列化。

12. 令 clientDataHash 为由 clientDataJSON 表示的序列化客户端数据的哈希，参见 说明。

13. 如果 options.signal 存在且 已中止（aborted），则抛出该 signal 的中止原因（abort reason）。

14. 令 issuedRequests 为一个新的 有序集合（ordered set）。

15. 令 savedCredentialIds 为一个新的 map。

16. 令 authenticators 表示一个值，该值在任一时刻为一个有序集合，其中每个项标识在该时刻此 client platform 上当前可用的一个 authenticator 的本地句柄。

    注意： 何谓“可用的”认证器未作具体规定；这旨在表示认证器可以通过多种机制被热插拔（hot-plug，例如 USB）或被发现（例如 NFC 或蓝牙），或永久内置于客户端。

17. 令 silentlyDiscoveredCredentials 为一个新的 map，其 条目 形式为：DiscoverableCredentialMetadata → authenticator。

18. 根据 hints 的值并由用户代理酌情设计用户界面。

19. 启动 lifetimeTimer。

20. 当 lifetimeTimer 未到期时，基于 lifetimeTimer 以及 authenticators 中每个 authenticator 的状态与响应，执行下列操作：

    如果 lifetimeTimer 到期，

    对 issuedRequests 中的每个 authenticator 调用 authenticatorCancel 并将其从 issuedRequests 中移除。

    如果用户在用户代理 UI 中选择取消该过程，

    对 issuedRequests 中的每个 authenticator 调用 authenticatorCancel 并将其从 issuedRequests 中移除。抛出一个 "NotAllowedError" DOMException。

    如果 options.signal 存在且 已中止，

    对 issuedRequests 中的每个 authenticator 调用 authenticatorCancel 并将其从 issuedRequests 中移除。然后抛出该 signal 的中止原因（abort reason）。

    如果 options.mediation 为 conditional 且用户与带有 input 或 textarea 表单控件交互， 且该控件具有 autocomplete 属性，其 non-autofill credential type 为 "webauthn"，

    注意： "webauthn" 的 autofill detail token 必须紧接在最后一个类型为 "Normal" 或 "Contact" 的 autofill detail token 之后。例子：

    • "username webauthn"

    • "current-password webauthn"

    1. 如果 silentlyDiscoveredCredentials 非 空：

       1. 提示用户可选地从 silentlyDiscoveredCredentials 中选择一个 DiscoverableCredentialMetadata。 提示应当展示每个 DiscoverableCredentialMetadata 的 otherUI 中的值，例如 name 和 displayName。

          令 credentialMetadata 为用户选择的 DiscoverableCredentialMetadata，如果用户有选择的话。

       2. 如果用户选择了一个 credentialMetadata，

          1. 令 publicKeyOptions 为 pkOptions 的临时副本。

          2. 令 authenticator 为 silentlyDiscoveredCredentials[credentialMetadata] 的值。

          3. 将 publicKeyOptions.allowCredentials 设为包含单个 PublicKeyCredentialDescriptor 项的 list，该项的 id 值设为 credentialMetadata 的 id 的值，且其 id 值设为 credentialMetadata 的 type。

          4. 对 authenticator 执行 issuing a credential request to an authenticator 算法，参数为 authenticator、savedCredentialIds、publicKeyOptions、rpId、clientDataHash 和 authenticatorExtensions。

             如果该调用返回 false，则 继续（跳过该认证器）。

          5. Append authenticator 到 issuedRequests。

    如果 options.mediation 不是 conditional， 且 issuedRequests 为空， pkOptions.allowCredentials 非空， 且其中没有任何 authenticator 将可用于任何其中列出的 public key credentials，

    向用户指示未找到合格凭证。当用户确认对话框后，抛出一个 "NotAllowedError" DOMException。

    注意： 客户端平台可以通过检查当前 pkOptions.allowCredentials 中每个 PublicKeyCredentialDescriptor 项的 transports 成员来判断没有认证器会变得可用。例如，如果所有 PublicKeyCredentialDescriptor 项仅列出 internal，但所有平台认证器（platform authenticators）都已被尝试，则不存在满足请求的可能性。或者，所有 PublicKeyCredentialDescriptor 项可能列出了客户端平台不支持的 transports。

    如果某个 authenticator 在此 client device 上变为可用，

    注意： 这也包括在启动 lifetimeTimer 时认证器已可用的情况。

    1. 如果 options.mediation 为 conditional 且该 authenticator 支持 silentCredentialDiscovery 操作：

       1. 令 collectedDiscoveredCredentialMetadata 为对该 authenticator 执行 silentCredentialDiscovery 操作（以 rpId 为参数） 的结果。

       2. 对 collectedDiscoveredCredentialMetadata 中的每个 credentialMetadata：

          1. 如果 credentialIdFilter 为空 或者 credentialIdFilter 包含一个项，其 id 的值等于 credentialMetadata 的 id，则将 silentlyDiscoveredCredentials[credentialMetadata] 设为 authenticator。

             注意： 在用户通过特定 UI 上的交互选择凭证时，将向该认证器发出请求（详见上文相关部分）。

    2. 否则：

       1. 执行 issuing a credential request to an authenticator 算法，参数为 authenticator、savedCredentialIds、pkOptions、rpId、clientDataHash 和 authenticatorExtensions。

          如果该调用返回 false，则 继续（跳过该认证器）。

          注意： 如果 options.mediation 为 conditional 且该 authenticator 不支持 silentCredentialDiscovery，则会走到此分支以允许在 conditional 的 user mediation 请求中使用此类认证器。

       2. Append authenticator 到 issuedRequests。

    如果某个 authenticator 在此 client device 上不再可用，

    从 issuedRequests 中 移除 该 authenticator。

    如果任何 authenticator 返回表示用户取消操作的状态，

    1. 从 issuedRequests 中 移除 该 authenticator。

    2. 对 issuedRequests 中的每个剩余 authenticator 调用 authenticatorCancel 并将其从 issuedRequests 中移除。

       注意： 认证器可能返回“用户取消了整个操作”的指示，用户代理如何向用户呈现该状态未作规定。

    如果任何 authenticator 返回错误状态，

    从 issuedRequests 中 移除 该 authenticator。

    如果任何 authenticator 指示成功，

    1. 从 issuedRequests 中 移除 该 authenticator。

    2. 令 assertionCreationData 为一个 struct，其 items 如下：

       credentialIdResult

       如果 savedCredentialIds[authenticator] 存在，则将 credentialIdResult 的值设为 savedCredentialIds[authenticator] 的字节。否则，将其值设为在成功的 authenticatorGetAssertion 操作中返回的 credential ID 的字节（详见 § 6.3.3）。

       clientDataJSONResult

       其值为 clientDataJSON 的字节。

       authenticatorDataResult

       其值为该 authenticator 返回的 authenticator data 的字节。

       signatureResult

       其值为该 authenticator 返回的签名值的字节。

       userHandleResult

       如果该 authenticator 返回了 user handle，则将 userHandleResult 的值设为返回的 user handle 的字节。否则，将其设为 null。

       clientExtensionResults

       其值为一个 AuthenticationExtensionsClientOutputs 对象，包含 扩展标识符 → 客户端扩展输出 的条目。这些条目是对 pkOptions.extensions 中的每个客户端扩展运行其 client extension processing 算法以创建对应的客户端扩展输出而生成的。

    3. 如果 credentialIdFilter 非空且 credentialIdFilter 不包含一个项，其 id 的值等于 credentialIdResult 的值，则 继续（跳过该认证器）。

    4. 如果 credentialIdFilter 为空且 userHandleResult 为 null，则 继续（跳过该认证器）。

    5. 令 settings 为当前的 settings object。令 global 为 settings 的 global object。

    6. 令 pubKeyCred 为与 global 关联的新 PublicKeyCredential 对象，其字段为：

       [[identifier]]

       一个新的 ArrayBuffer， 使用 global 的 %ArrayBuffer% 创建，包含 assertionCreationData.credentialIdResult 的字节。

       authenticatorAttachment

       与该 authenticator 当前 attachment modality 相匹配的 AuthenticatorAttachment 值。

       response

       一个新的与 global 关联的 AuthenticatorAssertionResponse 对象，其字段为：

       clientDataJSON

       一个新的 ArrayBuffer， 使用 global 的 %ArrayBuffer% 创建，包含 assertionCreationData.clientDataJSONResult 的字节。

       authenticatorData

       一个新的 ArrayBuffer， 使用 global 的 %ArrayBuffer% 创建，包含 assertionCreationData.authenticatorDataResult 的字节。

       signature

       一个新的 ArrayBuffer， 使用 global 的 %ArrayBuffer% 创建，包含 assertionCreationData.signatureResult 的字节。

       userHandle

       如果 assertionCreationData.userHandleResult 为 null，则将此字段设为 null。否则，将此字段设为一个新的 ArrayBuffer， 使用 global 的 %ArrayBuffer% 创建，包含 assertionCreationData.userHandleResult 的字节。

       [[clientExtensionsResults]]

       一个新的 ArrayBuffer， 使用 global 的 %ArrayBuffer% 创建，包含 assertionCreationData.clientExtensionResults 的字节。

    7. 对 issuedRequests 中的每个剩余 authenticator 调用 authenticatorCancel 并将其从 issuedRequests 中移除。

    8. 返回 pubKeyCred 并终止该算法。

21. 抛出一个 "NotAllowedError" DOMException。

对于 Web Authentication 的 PublicKeyCredential 类型，[[Store]](credential, sameOriginWithAncestors) 方法不受支持，因此其实现的 [[Store]](credential, sameOriginWithAncestors) 内部方法 总是抛出错误。

注意： 此算法为同步执行；Promise 的解析/拒绝由 navigator.credentials.store() 处理。

该内部方法接受两个参数：

credential

此参数为一个 PublicKeyCredential 对象。

sameOriginWithAncestors

此参数为布尔值，当且仅当调用者的 environment settings object 与其祖先同源（same-origin with its ancestors）时为 true。

当此方法被调用时，用户代理必须执行下列算法：

1. 抛出一个 "NotSupportedError" DOMException。

WebAuthn Relying Parties 使用此方法来判断是否可以使用 user-verifying platform authenticator 来创建新凭证。 在调用时，client 将通过特定于 client platform 的过程去发现可用的 user-verifying platform authenticators。 如果发现了任一此类设备，则返回的 promise 会以 true 解析，否则以 false 解析。 基于该结果，Relying Party 可采取进一步措施引导用户创建凭证。

此方法无参数，返回一个布尔值。

partial interface PublicKeyCredential {
    static Promise<boolean> isUserVerifyingPlatformAuthenticatorAvailable();
};

注意： 从一个被 browsing context 调用此方法时，如果据 Web Authentication API 的 "allowed to use" 算法判断该 API 在该上下文被“禁用”，——即受 permissions policy 的约束——则返回的 promise 会被拒绝，拒绝原因为名为 "NotAllowedError" 的 DOMException。 另请参阅 § 5.9 Permissions Policy integration。

WebAuthn Relying Parties 使用此方法来判断一组有限的 client 能力是否可用，从而为用户提供某些工作流或体验。例如，在某些客户端上仅当存在 hybrid 传输可用或 conditional mediation 不可用时（而不是显示用户名字段），RP 可能会在页面上提供一个登录按钮。

在调用时，client 通过特定于 client platform 的过程来发现这些能力的可用性。

此方法无参数，返回一个将能力键映射到布尔值的记录（record）。

partial interface PublicKeyCredential {
    static Promise<PublicKeyCredentialClientCapabilities> getClientCapabilities();
};

typedef record<DOMString, boolean> PublicKeyCredentialClientCapabilities;

PublicKeyCredentialClientCapabilities 中的键（Keys）必须按升序字典序排序。 键集合应包含 枚举值 集合（即 ClientCapability 的值），但客户端可按需省略某些键；见 § 14.5.4 披露客户端能力。

当某项能力的值为 true 时，表示该功能已知当前被客户端支持。 当某项能力的值为 false 时，表示该功能已知当前不被客户端支持。 当某项能力作为键不存在时，该客户端功能的可用性未知（unknown）。

该键集合还应为客户端实现的每个扩展包含一个键，键的形式为在扩展标识符前加上字符串 extension:。对于每个实现的扩展，其对应值应为 true。如果某个客户端支持 getClientCapabilities()，但未将某扩展映射为 true，则 Relying Party 可以假定该客户端不会执行该扩展的客户端处理步骤，并且该扩展可能不会转发给 authenticator。

注意即便某扩展映射为 true，用于某次操作的 authenticator 也可能不支持该扩展，因此 Relying Parties 不得仅据此假定 authenticator 会执行该扩展的处理步骤。

注意： 从一个被 browsing context 调用此方法时，如果据 Web Authentication API 的 "allowed to use" 算法判断该 API 在该上下文被“禁用”，——即受 permissions policy 的约束——则返回的 promise 会被拒绝，拒绝原因为名为 "NotAllowedError" 的 DOMException。 另请参阅 § 5.9 Permissions Policy integration。

WebAuthn Relying Parties 使用此方法将用于 navigator.credentials.create() 的选项的 JSON 表示转换为 PublicKeyCredentialCreationOptions。

在调用时，client 必须将 options 参数转换为一个新的、结构相同的 PublicKeyCredentialCreationOptions 对象， 并使用 base64url 编码 解码出现在 DOMString 属性中对应于 PublicKeyCredentialCreationOptionsJSON 的那些值，这些值对应于 PublicKeyCredentialCreationOptions 中的 buffer source 类型属性。 该转换也必须应用于任何由 client extension inputs 所处理的扩展。

AuthenticationExtensionsClientInputsJSON 可能包括在 IANA “WebAuthn Extension Identifiers” 注册表中注册但未在本规范（§ 9 WebAuthn Extensions）中定义的扩展。

如果 client 在解析任何 JSON 表示时遇到问题，则必须抛出一个 "EncodingError" 的 DOMException，并附带不兼容值的描述，然后终止操作。

partial interface PublicKeyCredential {
    static PublicKeyCredentialCreationOptions parseCreationOptionsFromJSON(PublicKeyCredentialCreationOptionsJSON options);
};

dictionary PublicKeyCredentialCreationOptionsJSON {
    required PublicKeyCredentialRpEntity                    rp;
    required PublicKeyCredentialUserEntityJSON              user;
    required Base64URLString                                challenge;
    required sequence<PublicKeyCredentialParameters>        pubKeyCredParams;
    unsigned long                                           timeout;
    sequence<PublicKeyCredentialDescriptorJSON>             excludeCredentials = [];
    AuthenticatorSelectionCriteria                          authenticatorSelection;
    sequence<DOMString>                                     hints = [];
    DOMString                                               attestation = "none";
    sequence<DOMString>                                     attestationFormats = [];
    AuthenticationExtensionsClientInputsJSON                extensions;
};

dictionary PublicKeyCredentialUserEntityJSON {
    required Base64URLString        id;
    required DOMString              name;
    required DOMString              displayName;
};

dictionary PublicKeyCredentialDescriptorJSON {
    required DOMString              type;
    required Base64URLString        id;
    sequence<DOMString>             transports;
};

dictionary AuthenticationExtensionsClientInputsJSON {
};

WebAuthn Relying Parties 使用此方法将用于 navigator.credentials.get() 的选项的 JSON 表示转换为 PublicKeyCredentialRequestOptions。

在调用时，client 必须将 options 参数转换为一个新的、结构相同的 PublicKeyCredentialRequestOptions 对象， 并使用 base64url 编码 解码出现在 DOMString 属性中对应于 PublicKeyCredentialRequestOptionsJSON 的那些值，这些值对应于 PublicKeyCredentialRequestOptions 中的 buffer source 类型属性。 该转换也必须应用于任何由 client extension inputs 所处理的扩展。

AuthenticationExtensionsClientInputsJSON 可能包括在 IANA “WebAuthn Extension Identifiers” 注册表中注册但未在本规范（§ 9 WebAuthn Extensions）中定义的扩展。

如果 client 在解析任何 JSON 表示时遇到问题，则必须抛出一个 "EncodingError" 的 DOMException，并附带不兼容值的描述，然后终止操作。

partial interface PublicKeyCredential {
    static PublicKeyCredentialRequestOptions parseRequestOptionsFromJSON(PublicKeyCredentialRequestOptionsJSON options);
};

dictionary PublicKeyCredentialRequestOptionsJSON {
    required Base64URLString                                challenge;
    unsigned long                                           timeout;
    DOMString                                               rpId;
    sequence<PublicKeyCredentialDescriptorJSON>             allowCredentials = [];
    DOMString                                               userVerification = "preferred";
    sequence<DOMString>                                     hints = [];
    AuthenticationExtensionsClientInputsJSON                extensions;
};

clientDataJSON, of type ArrayBuffer, readonly

该属性包含了 与 JSON 兼容的序列化 的 客户端数据，其 哈希值 由客户端在调用 create() 或 get() 时传递给认证器（即客户端数据本身并不直接发送给认证器）。

clientDataJSON

该属性继承自 AuthenticatorResponse， 包含了传递给认证器以生成该凭证的 与 JSON 兼容的客户端数据序列化（见 § 6.5 Attestation）。 必须保留精确的 JSON 序列化形式，因为对序列化的客户端数据所计算的 哈希 就是基于该序列化结果计算的。

attestationObject, of type ArrayBuffer, readonly

该属性包含一个 attestation object，其对客户端是不透明的，并受到加密保护以防客户端篡改。attestation object 同时包含 authenticator data 和一个 attestation statement。 前者包含 AAGUID、唯一的 credential ID 以及 credential public key。 attestation statement 的内容由认证器使用的 attestation statement format 决定。 它还包含了 Relying Party 的服务器在验证 attestation statement 时所需的任何额外信息，以及用于解码和验证 authenticator data 与客户端数据的 JSON 兼容序列化 的信息。更多细节见 § 6.5 Attestation、§ 6.5.4 Generating an Attestation Object 与 图 6。

getTransports()

此操作返回 [[transports]] 的值。

getAuthenticatorData()

此操作返回包含在 attestationObject 中的 authenticator data。参见 § 5.2.1.1 Easily accessing credential data。

getPublicKey()

此操作返回新凭证的 DER 格式的 SubjectPublicKeyInfo，如果不可用则返回 null。参见 § 5.2.1.1 Easily accessing credential data。

getPublicKeyAlgorithm()

此操作返回新凭证的 COSEAlgorithmIdentifier。参见 § 5.2.1.1 Easily accessing credential data。

[[transports]]

该内部槽 包含按字典序排列的零个或多个唯一 DOMString。这些值表示认为认证器支持的传输方式，若信息不可用则为一个空序列。值应当是 AuthenticatorTransport 的成员，但 Relying Parties 应接受并存储未知值。

clientDataJSON

该属性继承自 AuthenticatorResponse， 包含了传递给认证器以生成该断言的 与 JSON 兼容的客户端数据序列化（见 § 5.8.1 Client Data Used in WebAuthn Signatures (dictionary CollectedClientData)）。 必须保留精确的 JSON 序列化形式，因为对序列化的客户端数据所计算的 哈希 就是基于该序列化结果计算的。

authenticatorData, of type ArrayBuffer, readonly

该属性包含认证器返回的 authenticator data。参见 § 6.1 Authenticator Data。

signature, of type ArrayBuffer, readonly

该属性包含认证器返回的原始签名。参见 § 6.3.3 The authenticatorGetAssertion Operation。

userHandle, of type ArrayBuffer, readonly, nullable

该属性包含认证器返回的 user handle，如果认证器未返回 user handle，则为 null。参见 § 6.3.3 The authenticatorGetAssertion Operation。如果在 authentication ceremony 中使用的 allowCredentials 选项为空列表（empty），则认证器必须始终返回一个 user handle；在其他情况下认证器可以选择返回或不返回。

type, of type DOMString

该成员指定将被创建的凭证类型。其值应当是 PublicKeyCredentialType 的成员，但 client platforms 必须忽略未知值，忽略任何具有未知 type 的 PublicKeyCredentialParameters。

alg, of type COSEAlgorithmIdentifier

该成员指定用于新生成凭证的加密签名算法类型，从而也决定要生成的非对称密钥对的类型，例如 RSA 或 椭圆曲线。

注意： 我们使用 "alg" 作为成员名，而不是完整拼写 "algorithm"，是因为它会被序列化到发往认证器的消息中，该消息可能通过低带宽链路发送。

rp, of type PublicKeyCredentialRpEntity

该成员包含了发出请求的 Relying Party 的名称与标识符。

其值的 name 成员为必须项。更多细节见 § 5.4.1 Public Key Entity Description (dictionary PublicKeyCredentialEntity)。

其值的 id 成员指定凭证应当作用域（scoped）到的 RP ID。若省略，则其值将为 CredentialsContainer 对象的 relevant settings object 的 origin 的 effective domain。更多细节见 § 5.4.2 Relying Party Parameters for Credential Generation (dictionary PublicKeyCredentialRpEntity)。

user, of type PublicKeyCredentialUserEntity

该成员包含执行 注册 的 用户账户 的名称和标识符。

其值的 name、 displayName 与 id 成员为必需项。id 在未来某些认证流程中可以作为 userHandle 被返回，并用于覆盖在同一 authenticator 上具有相同 rp.id 和 user.id 的可发现凭证（discoverable credentials）。name 与 displayName 可以被 authenticator 和 client 在未来的认证流程中用于帮助用户选择凭证，但不会在未来的认证流程结果中返回给 Relying Party。

更多细节见 § 5.4.1 Public Key Entity Description (dictionary PublicKeyCredentialEntity) 和 § 5.4.3 User Account Parameters for Credential Generation (dictionary PublicKeyCredentialUserEntity)。

challenge, of type BufferSource

该成员指定一个 challenge，认证器在为新创建的凭证生成 attestation object 时会与其它数据一同对其进行签名。参见安全注意事项 § 13.4.3 Cryptographic Challenges。

pubKeyCredParams, of type sequence<PublicKeyCredentialParameters>

该成员列出了 Relying Party 支持的密钥类型和签名算法，按从最优先到最不优先的顺序排列。允许重复，但会被有效忽略。client 与 authenticator 会尽最大努力创建最优先类型的凭证。如果无法创建任何列出的类型，则 create() 操作将失败。

希望支持广泛 authenticators 的 Relying Parties 应至少包含下列 COSEAlgorithmIdentifier 值：

• -8 (Ed25519)

• -7 (ES256)

• -257 (RS256)

可根据需要加入更多签名算法。

timeout, of type unsigned long

该可选成员指定以毫秒为单位的时间，表示 Relying Party 愿意等待调用完成的时间。此值作为提示，且可能被 client 覆盖。

excludeCredentials, of type sequence<PublicKeyCredentialDescriptor>, defaulting to []

Relying Party 应使用此可选成员列出映射到该 用户账号 的任何现有凭证（由 user.id 标识）。这可确保新的凭证不会在已经包含映射到该用户账号的凭证的 authenticator 上创建。如果会出现这种情况，则请求客户端引导用户使用不同的 authenticator，如果失败则返回错误。

authenticatorSelection, of type AuthenticatorSelectionCriteria

Relying Party 可使用此可选成员指定认证器必须或应满足的能力与设置，以参与 create() 操作。见 § 5.4.4 Authenticator Selection Criteria (dictionary AuthenticatorSelectionCriteria)。

hints, of type sequence<DOMString>, defaulting to []

该可选成员包含零个或多个来自 PublicKeyCredentialHint 的元素，用以指导用户代理与用户交互。请注意尽管元素来自枚举，但其类型为 DOMString。见 § 2.1.1 Enumerations as DOMString types。

attestation, of type DOMString, defaulting to "none"

Relying Party 可使用此可选成员指定关于 attestation conveyance 的偏好。其值应当是 AttestationConveyancePreference 的成员。Client platforms 必须忽略未知值，并将未知值视为该成员不存在。

默认值为 none。

attestationFormats, of type sequence<DOMString>, defaulting to []

Relying Party 可使用此可选成员指定对 attestation 语句格式的偏好，这些格式由 authenticator 使用。值应当取自 IANA “WebAuthn Attestation Statement Format Identifiers” 注册表（由 [IANA-WebAuthn-Registries] 建立），并按偏好顺序排列。允许重复但会被忽略。该参数为建议性，authenticator 可以使用未在该参数中列举的 attestation 语句。

默认值为空列表，表示不偏好任何格式。

extensions, of type AuthenticationExtensionsClientInputs

Relying Party 可使用此可选成员提供 client extension inputs，请求 client 与 authenticator 进行额外处理。例如，Relying Party 可以请求客户端返回关于已创建 credential 的附加信息。

扩展框架在 § 9 WebAuthn Extensions 中定义。一些扩展在 § 10 Defined Extensions 中定义；请参阅由 [IANA-WebAuthn-Registries]（由 [RFC8809] 建立）维护的注册表，以获取已注册 WebAuthn 扩展 的最新列表。

name，类型为 DOMString

该实体的用户友好名称。其作用依赖PublicKeyCredentialEntity 的具体用法：

• [已弃用] 被 PublicKeyCredentialRpEntity 继承时，表示 Relying Party 的用户友好标识，仅用于展示。例如："ACME有限公司"，"欢乐部件公司" 或 "ОАО Примертех"。

  由于许多 客户端 并不显示该属性，该成员已弃用，但为兼容仍然必需。Relying Party 可将其值设置为 RP ID 作为默认。

  • Relying Party 在设置 name 或展示值时，应该按照 [RFC8266] 第2.3节对昵称字符串的标准执行格式化和校验。

  • 此字符串可包含语言及书写方向元数据。Relying Party 如设置为非RP ID值，建议一并给出相关元数据。元数据编码方式见 § 6.4.2 语言与方向编码。

  • 客户端在将name展示给用户，或作为 authenticatorMakeCredential 操作参数使用前，应如RFC8266和PRECIS所述进行标准化和安全性处理。

• 被 PublicKeyCredentialUserEntity 继承时，则为该 用户账户 的用户友好标识。此标识是 客户端 展示给用户用以帮助其识别凭证归属的主显示值。

  常见如 "alexm", "+14255551234", "alex.mueller@example.com" 或 "alex.mueller@example.com (prod-env)"。

  • Relying Party 可允许用户自定义该值。并应依照 [RFC8265] 第3.4.3节对用户名的规范，对 name 进行检验和处理。

  • 该字符串可以包含语言和方向元数据。Relying Party 建议提供此类元信息。见 § 6.4.2 语言与方向编码。

  • 客户端在展示或作为 authenticatorMakeCredential 参数前，应参照 [RFC8265] 和PRECIS用户名规范对值进行处理。

当 客户端、客户端平台 或 认证器 展示 name 应使用 UI 元素清晰包裹，避免内容溢出到其它元素中。

存储 name 时允许进行截断，详见 § 6.4.1 字符串截断，建议阈值不少于64字节。

id，类型为 DOMString

该 Relying Party 实体的唯一标识符，用作 RP ID。

id，类型为 BufferSource

该用户账户的 user handle。 user handle 是一个最大长度不超过64字节的不透明字节序列（byte sequence），不应向用户展示。

为确保安全，认证和授权决策必须基于id成员，而不可基于displayName或name。参见[RFC8266]第6.1节。

user handle 禁止包含用户的个人身份信息(PII)，如用户名、邮箱等；详见 § 14.6.1 User Handle 内容。user handle 不能为空。

即使是 不可发现凭证，不同用户的 user handle 也不应是常量，否则若认证器一律创建可发现凭证，多用户会互相影响。

displayName， 类型为 DOMString

该用户账户的一个用户友好名称，仅用于显示。Relying Party 应让用户自主选择，且不应做过多限制。如果没有合适用户友好名称，则应设为空字符串。

例如: "Alex Müller", "Alex Müller (ACME Co.)", "田中倫" 等。

• Relying Party 在设置非空字符串或展示非空字符串时，应按 [RFC8266] 第2.3节进行处理。

• 此字符串可包含语言和方向元数据。建议 Relying Party 提供此信息，见 § 6.4.2 语言与方向编码。

• 客户端 在展示非空displayName或作为 authenticatorMakeCredential 参数前，应做上述安全合规检测。

当 客户端、客户端平台 或 认证器 展示 displayName，应通过UI包裹，防止UI溢出。

存储 displayName 时可截断，建议最小64字节，详见 § 6.4.1 字符串截断。

authenticatorAttachment， 类型为 DOMString

若存在，仅筛选与指定认证器连接模式匹配的认证器（详见 § 6.2.1）。如无则不限模式。值建议为 AuthenticatorAttachment 的成员，但 客户端平台 必须忽略未知值。

另见 authenticatorAttachment ，用于确认成功注册/认证使用的连接模式。

residentKey， 类型为 DOMString

指定 Relying Party 希望创建的 客户端可发现凭证 的程度。“resident” 为历史术语，值建议为 ResidentKeyRequirement 内成员，平台必须忽略未知值。若缺省则根据 requireResidentKey 判断。详见该枚举描述。

requireResidentKey， 类型为 boolean, 默认 false

为兼容Level 1保留，建议仅当 residentKey 为 required 时设为 true。

userVerification， 类型为 DOMString，默认 "preferred"

指定 Relying Party 对 用户验证 的需求。建议值为 UserVerificationRequirement，平台必须忽略未知值。

详见 UserVerificationRequirement 中各值定义。

platform

表示 平台型连接。

cross-platform

表示 跨平台连接。

discouraged

Relying Party 更倾向于创建 服务器端凭证，但亦接受 客户端可发现凭证。客户端与认证器应尽量创建服务器端凭证。

注意：Relying Party 无法要求必须创建为服务器端凭证，并且 Credential Properties Extension 可能不返回 rk 字段，因此RP可能无法准确得知类型以及凭证复用行为。

preferred

Relying Party 更倾向于创建 客户端可发现凭证，但亦接受服务器端凭证。客户端与认证器应尽量创建可发现凭证，必要时指导用户启用用户验证，其优先级高于 userVerification。

required

Relying Party 要求必须创建 客户端可发现凭证。如若无法创建，客户端必须返回错误。

none

Relying Party 不关心认证器声明。例如，为了避免处理向 Relying Party 传递标识信息时获取用户同意，或减少与 Attestation CA 或 Anonymization CA 往返。当 认证器 生成的 声明语句 不是自声明时，客户端 会将其替换为 None 类型声明语句。

这是默认选项，未知值也将视为此行为。

indirect

Relying Party 希望获得可验证的声明语句，但允许 客户端 决定如何获取该声明语句。客户端可用 Anonymization CA 生成的声明替换认证器声明以保护隐私，或帮RP验证。

注意：此方式不能保证 Relying Party 能一定获取到可验证声明。比如若认证器使用 自声明，客户端未做更改时即如此。

direct

Relying Party 希望直接获得认证器生成的声明语句原文。

enterprise

Relying Party 希望获得企业声明，即可能包含可唯一标识认证器信息的声明语句。适用于受控的企业场景以绑定注册到特定认证器。除非代理或认证器配置允许，不能提供企业声明给请求 RP ID。如允许，代理应在调用生成凭证时向认证器表明请求企业声明，并原封不动传递回 Relying Party。

type, 类型为 DOMString

此成员在创建新凭证时包含字符串 "webauthn.create"，在获取已有凭证断言时为 "webauthn.get"。该成员的目的是防止某些类型的签名混淆攻击（攻击者用一个合法签名替换另一个）。

challenge, 类型为 DOMString

此成员包含由依赖方提供的 challenge 的 base64url 编码。参见 § 13.4.3 密码挑战安全考量。

origin, 类型为 DOMString

此成员包含请求方的完全限定源（origin），由客户端提供给认证器，语法定义见[RFC6454]。

crossOrigin, 类型为 boolean

此可选成员包含传给 内部方法的 sameOriginWithAncestors 参数的取反值。

topOrigin, 类型为 DOMString

此可选成员包含请求方的完全限定顶级源，语法定义见[RFC6454]。仅在调用上下文与其祖先非同源（即same-origin with its ancestors为假时）设置，亦即crossOrigin为true。

[保留] tokenBinding

此可选成员包含与Token Binding协议 [TokenBinding]相关的信息。缺省表示客户端不支持 token binding

注意：虽然Token Binding 曾在 WebAuthn Level 1 和 Level 2 出现，其在 Level 3 不再使用。tokenBinding 字段被保留，不会被其他用途复用。

status, 类型为 DOMString

此成员应为TokenBindingStatus 的成员，但客户端平台必须忽略未知值，将未知值视为tokenBinding 成员不存在。已知时，该成员为下列之一：

supported

表示客户端支持 token binding，但与依赖方通信时未协商。

present

表示与依赖方通信时已使用 token binding。此时，必须包含id成员。

注意： 枚举TokenBindingStatus故意未被引用，详见§ 2.1.1 枚举作为 DOMString 类型。

id, 类型为 DOMString

当status 为 present 时，该成员必须存在， 并且是向 依赖方通信时所用 Token Binding ID 的 base64url 编码。

注意： 获得 Token Binding ID 是客户端平台特定的操作。

CollectedClientData 结构用于客户端计算如下内容：

客户端数据的 JSON 兼容序列化

这是对CollectedClientData 字典执行 JSON 兼容序列化算法 的结果。

序列化客户端数据的哈希

这是客户端数据的 JSON 兼容序列化的哈希（用 SHA-256 计算），由客户端构造。