Web 身份验证：
用于访问公钥凭证的 API
第 3 级

通过将 options.mediation 设置为 conditional， Relying Parties 可以表明他们希望在用户已同意创建凭证的情况下进行凭证注册且不显示显著的模态 UI。 服务方（Relying Party）应当首先使用 getClientCapabilities() 检查 client 是否支持 conditionalCreate 能力，以防止在该功能不可用时出现对用户可见的错误。 当 options.mediation 被设置为 conditional 时，客户端必须将 requireUserPresence 和 requireUserVerification 均设置为 FALSE，除非这些操作可以在仪式过程中被显式执行。

可以通过使用 AbortController 中止任何 navigator.credentials.create() 操作；详见 DOM § 3.3 在 API 中使用 AbortController 和 AbortSignal 对象 以获取详细说明。

此 internal method 接受三个参数：

origin

此参数是调用 create() 实现所确定的 relevant settings object 的 origin。

options

此参数是一个 CredentialCreationOptions 对象，其 options.publicKey 成员包含一个 PublicKeyCredentialCreationOptions 对象，指定将要创建的 public key credential 的期望属性。

sameOriginWithAncestors

此参数为布尔值，当且仅当调用者的 environment settings object 与其祖先同源时值为 true。若调用者为跨源则值为 false。

注：调用此 internal method 表示此调用已被 permissions policy 所允许，该 policy 在 [CREDENTIAL-MANAGEMENT-1] 层面进行评估。 参见 § 5.9 Permissions Policy 集成。

注： 此算法为同步： Promise 的解决/拒绝由 navigator.credentials.create() 处理。

本算法中使用的所有 BufferSource 对象必须在算法开始时进行快照，以避免潜在的同步问题。实现应当 获取该缓冲源所持字节的副本 并在算法相关部分使用该副本。

当调用此方法时，用户代理必须执行以下算法：

1. 断言： options.publicKey 存在。

2. 如果 sameOriginWithAncestors 为 false：

   1. 如果 options.mediation 存在且其值为 conditional：

      1. 抛出一个 "NotAllowedError" DOMException。

   2. 如果调用 create() 实现所确定的 relevant global object 没有 transient activation：

      1. 抛出一个 "NotAllowedError" DOMException。

   3. 对该 relevant global object 消耗用户激活（Consume user activation）。

   4. 如果创建凭证的 origin 与该 relevant global object 的顶级来源（top-level origin）不同（即与用户地址栏中看到的来源不同），则 client 应当向用户明确说明此事实。

3. 令 pkOptions 为 options.publicKey 的值。

4. 如果 pkOptions.timeout 存在，则检查其值是否位于由 client 定义的合理范围内；若不是，则将其修正为最接近该范围的值。将计时器 lifetimeTimer 设为此调整后的值。若 pkOptions.timeout 不存在，则将 lifetimeTimer 设为客户端特定的默认值。

   有关决定 pkOptions.timeout 的合理范围和默认值的指导，请参阅 推荐的 WebAuthn 仪式超时范围和默认值。

   客户端在考虑有特殊需求的用户时应注意认知方面的指引来决定超时值。

5. 如果 pkOptions.user.id 的长度不在 1 到 64 字节（含）之间，则抛出一个 TypeError。

6. 令 callerOrigin 为 origin。 如果 callerOrigin 是 opaque origin，则抛出一个 "NotAllowedError" DOMException。

7. 令 effectiveDomain 为 callerOrigin 的 effective domain。 如果该 effective domain 不是一个 有效域名，则抛出一个 "SecurityError" DOMException。

   注：一个 effective domain 可能解析为一个 host，该 host 可以用多种方式表示，例如 domain、IPv4 地址、 IPv6 地址、opaque host 或 empty host。 此处仅允许使用 domain 格式的 host。此规定既为简化，也考虑到在与基于 PKI 的安全机制配合使用时直接使用 IP 地址可能带来的各种问题。

8. If pkOptions.rp.id

   存在

   如果 pkOptions.rp.id 既不是 registrable domain 的后缀也不等于 effectiveDomain，且客户端

   支持 related origin requests

   1. 令 rpIdRequested 为 pkOptions.rp.id 的值。

   2. 用参数 callerOrigin 和 rpIdRequested 运行 related origins validation procedure。如果结果为 false，则抛出一个 "SecurityError" DOMException。

   不支持 related origin requests

   抛出一个 "SecurityError" DOMException。

   不存在

   将 pkOptions.rp.id 设置为 effectiveDomain。

   注： pkOptions.rp.id 表示调用者的 RP ID。除非调用者在调用 create() 时显式设置了 pkOptions.rp.id， RP ID 默认为调用者 origin 的 effective domain。

9. 令 credTypesAndPubKeyAlgs 为一个新的 list，其 items 为 PublicKeyCredentialType 与 COSEAlgorithmIdentifier 的配对。

10. 如果 pkOptions.pubKeyCredParams 的 size

    为零

    Append 以下 PublicKeyCredentialType 与 COSEAlgorithmIdentifier 的配对到 credTypesAndPubKeyAlgs：

    • public-key 和 -7 ("ES256").

    • public-key 和 -257 ("RS256").

    非零

    对于 pkOptions.pubKeyCredParams 的每个 current：

    1. 如果 current.type 不包含此实现支持的 PublicKeyCredentialType，则 continue。

    2. 令 alg 为 current.alg。

    3. Append current.type 与 alg 的配对到 credTypesAndPubKeyAlgs。

    如果 credTypesAndPubKeyAlgs 为空，则抛出一个 "NotSupportedError" DOMException。

11. 令 clientExtensions 为一个新的 map，并令 authenticatorExtensions 为一个新的 map。

12. 如果 pkOptions.extensions 存在，则对 每个 extensionId → clientExtensionInput 于 pkOptions.extensions 执行以下操作：

    1. 如果 extensionId 不被此 client platform 支持，或不是一个 registration extension，则 continue。

    2. Set clientExtensions[extensionId] 为 clientExtensionInput。

    3. 如果 extensionId 不是一个 authenticator extension，则 continue。

    4. 令 authenticatorExtensionInput 为对 clientExtensionInput 运行 extensionId 的 client extension processing 算法后得到的 (CBOR) 结果。如果该算法返回错误，则 continue。

    5. Set authenticatorExtensions[extensionId] 为 base64url 编码的 authenticatorExtensionInput。

13. 令 collectedClientData 为一个新的 CollectedClientData 实例，其字段为：

    type

    字符串 "webauthn.create".

    challenge

    base64url 编码的 pkOptions.challenge。

    origin

    serialization 的 callerOrigin。

    crossOrigin

    此处为传入到该 sameOriginWithAncestors 参数的值的逆。

    topOrigin

    如果传入的 sameOriginWithAncestors 参数为 false，则为 callerOrigin 的 top-level origin 的 serialization，否则为 undefined。

14. 令 clientDataJSON 成为从 collectedClientData 构造的 与 JSON 兼容的客户端数据的序列化。

15. 令 clientDataHash 为由 clientDataJSON 表示的 序列化客户端数据的哈希。

16. 如果 options.signal 存在并且 已中止，则抛出该 options.signal 的 中止原因。

17. 令 issuedRequests 为一个新的 ordered set。

18. 令 authenticators 表示一个值，该值在任何给定时刻为一个 集合，集合中的每个项为特定于 client platform 的句柄，每个项都标识在该时刻可用的 authenticator。

    注：关于一个 authenticator 被视为“可用”的具体条件并未在此明确规定；这旨在表示 authenticators 可以通过各种机制被 热插（例如通过 USB）或被发现（例如通过 NFC 或蓝牙）到 client，或者永久内置于该 client 中。

19. 如果 options.mediation 存在且其值为 conditional：

    1. 如果用户代理最近没有调解过一次认证、该认证的来源不是 callerOrigin，或用户不同意此类凭证创建，则抛出一个 "NotAllowedError" DOMException。

       何时认定一个认证仪式已完成由用户代理决定。该认证仪式可以通过除 Web Authentication API 之外的其他方式完成。

20. 考虑 hints 的值，并由用户代理酌情设计用户界面以适应这些提示。

21. 启动 lifetimeTimer。

22. 当 lifetimeTimer 未到期时，针对 authenticators 中的每个 authenticator， 根据 lifetimeTimer 的状态和响应执行下列操作：

    如果 lifetimeTimer 到期，

    对 issuedRequests 中的每个 authenticator 调用 authenticatorCancel 操作，并将该 authenticator 从 issuedRequests 中移除。

    如果用户在用户代理界面中选择取消该过程，

    对 issuedRequests 中的每个 authenticator 调用 authenticatorCancel 操作，并将该 authenticator 从 issuedRequests 中移除。抛出一个 "NotAllowedError" DOMException。

    如果 options.signal 存在并且 已中止，

    对 issuedRequests 中的每个 authenticator 调用 authenticatorCancel 操作，并将其从 issuedRequests 中移除。然后抛出该 options.signal 的 中止原因。

    如果某个 authenticator 在此 client device 上变得可用，

    注：这包括在启动 lifetimeTimer 时该 authenticator 已可用的情况。

    1. 该 authenticator 现在为 candidate authenticator。

    2. 如果 pkOptions.authenticatorSelection 存在：

       1. 如果 pkOptions.authenticatorSelection.authenticatorAttachment 存在且其值不等于该 authenticator 的 authenticator attachment modality，则 continue。

       2. 如果 pkOptions.authenticatorSelection.residentKey

          存在且设置为 required

          如果该 authenticator 无法存储 client-side discoverable public key credential source，则 continue。

          存在且设置为 preferred 或 discouraged

          无影响。

          不存在

          如果 pkOptions.authenticatorSelection.requireResidentKey 被设置为 true 并且该 authenticator 无法存储 client-side discoverable public key credential source，则 continue。

       3. 如果 pkOptions.authenticatorSelection.userVerification 被设置为 required 且 authenticator 无法执行 用户验证，则继续。

    3. 令 requireResidentKey 为 credential creation 的有效 resident key 要求，该值为布尔值，定义如下：

       如果 pkOptions.authenticatorSelection.residentKey

       存在且设置为 required

       令 requireResidentKey 为 true。

       存在且设置为 preferred

       如果该 authenticator

       具备 client-side credential storage modality

       令 requireResidentKey 为 true。

       不具备上述能力，或 client 无法确定认证器能力，

       令 requireResidentKey 为 false。

       存在且设置为 discouraged

       令 requireResidentKey 为 false。

       不存在

       令 requireResidentKey 为 pkOptions.authenticatorSelection.requireResidentKey 的值。

    4. 令 userVerification 为 credential creation 的有效 user verification 要求，该值为布尔值，定义如下。如果 pkOptions.authenticatorSelection.userVerification

       被设置为 required

       1. 如果 options.mediation 被设置为 conditional 且在仪式期间无法收集 user verification，则抛出一个 ConstraintError DOMException。

       2. 令 userVerification 为 true。

       被设置为 preferred

       如果该 authenticator

       具备 user verification

       令 userVerification 为 true。

       不具备 user verification

       令 userVerification 为 false。

       被设置为 discouraged

       令 userVerification 为 false。

    5. 令 enterpriseAttestationPossible 为一个布尔值，如下定义。如果 pkOptions.attestation

       被设置为 enterprise

       如果用户代理希望为 pkOptions.rp.id 支持企业级 attestation（参见第 8 步），则令 enterpriseAttestationPossible 为 true，否则为 false。

       否则

       令 enterpriseAttestationPossible 为 false。

    6. 令 attestationFormats 为一个字符串列表，初始值为 pkOptions.attestationFormats 的值。

    7. 如果 pkOptions.attestation

       被设置为 none

       将 attestationFormats 设为只包含字符串 “none” 的单元素列表。

    8. 令 excludeCredentialDescriptorList 为一个新的 list。

    9. 对于 pkOptions.excludeCredentials 中的每个凭证描述符 C：

       1. 如果 C.transports 非空，并且该 authenticator 通过一个并未在 C.transports 中列出的传输方式连接， 客户端可以 继续（即跳过此条）。

          注：如果客户端选择 继续，这可能会导致在同一 authenticator 上意外注册多个与之绑定的凭证，如果 C.transports 中的传输提示不准确就会如此。 例如，存储的传输提示可能由于软件升级添加了新的连接选项而变得不准确。

       2. 否则，将 C 添加到 excludeCredentialDescriptorList。

       3. 调用该 authenticator 上的 authenticatorMakeCredential 操作，参数为： clientDataHash、 pkOptions.rp、 pkOptions.user、 requireResidentKey、 userVerification、 credTypesAndPubKeyAlgs、 excludeCredentialDescriptorList、 enterpriseAttestationPossible、 attestationFormats， 以及 authenticatorExtensions。

    10. 将 authenticator 添加到 issuedRequests。

    如果某个 authenticator 在此 client device 上不再可用，

    从 issuedRequests 中移除该 authenticator。

    如果任何 authenticator 返回指示用户已取消操作的状态，

    1. 从 issuedRequests 中移除该 authenticator。

    2. 对 issuedRequests 中剩余的每个 authenticator 调用 authenticatorCancel 操作，并将其从 issuedRequests 中移除。

       注： Authenticators 可能返回“用户取消了整个操作”的指示。用户代理如何向用户展示这一状态未在规范中规定。

    如果任何 authenticator 返回等同于 "InvalidStateError" 的错误状态，

    1. 从 issuedRequests 中移除该 authenticator。

    2. 对 issuedRequests 中剩余的每个 authenticator 调用 authenticatorCancel 操作，并将其从 issuedRequests 中移除。

    3. 抛出一个 "InvalidStateError" DOMException。

    注：该错误状态单独处理，因为 authenticator 仅在 excludeCredentialDescriptorList 标识出与该 authenticator 绑定的凭证并且用户已同意该操作时返回此错误。鉴于该明确同意，在该情况下向 Relying Party 区分该状态是可接受的。

    如果任何 authenticator 返回非等同于 "InvalidStateError" 的错误状态，

    从 issuedRequests 中移除该 authenticator。

    注：此情况不表示对该操作存在 用户同意，因此错误详情对 Relying Party 隐藏，以防止泄露可能识别用户的信息。详情见 § 14.5.1 Registration Ceremony Privacy。

    如果任何 authenticator 指示成功，

    1. 从 issuedRequests 中移除该 authenticator。该认证器现在为 selected authenticator。

    2. 令 credentialCreationData 为一个 struct，其 items 如下：

       attestationObjectResult

       其值为成功的 authenticatorMakeCredential 操作返回的字节。

       注：该值为 attObj，如 § 6.5.4 生成 Attestation Object 所定义。

       clientDataJSONResult

       其值为 clientDataJSON 的字节。

       attestationConveyancePreferenceOption

       其值为 pkOptions.attestation 的值。

       clientExtensionResults

       其值为一个 AuthenticationExtensionsClientOutputs 对象，包含 extension identifier → client extension output 条目。条目由对每个 client extension 在 pkOptions.extensions 中的每个扩展运行其 client extension processing 算法以创建相应的 client extension outputs。

    3. 令 constructCredentialAlg 为一个算法，该算法接收一个 global object global，其步骤如下：

       1. 如果 credentialCreationData.attestationConveyancePreferenceOption 的值为：

          none

          用不具识别性的等价信息替换可能具有唯一识别性的字段：

          1. 如果 aaguid 在 attested credential data 中为 16 个零字节， 且 credentialCreationData.attestationObjectResult.fmt 为 "packed"，并且 "x5c" 未出现在 credentialCreationData.attestationObjectResult 中， 则说明正在使用 self attestation，并且无需进一步操作。

          2. 否则：

             1. 将 credentialCreationData.attestationObjectResult.fmt 的值设为 "none"，并将 credentialCreationData.attestationObjectResult.attStmt 设为一个空的 CBOR map。（参见 § 8.7 None Attestation Statement Format 和 § 6.5.4 生成 Attestation Object。）

          indirect

          客户端可以用更隐私友好且/或更易验证的等价数据替换 aaguid 和 attestation statement（例如，使用 Anonymization CA）。

          direct 或 enterprise

          向 Relying Party 原样传递该 authenticator 的 AAGUID 和 attestation statement。

       2. 令 attestationObject 为一个新的 ArrayBuffer， 使用 global 的 %ArrayBuffer% 创建， 包含 credentialCreationData.attestationObjectResult 的字节值。

       3. 令 id 为 attestationObject.authData.attestedCredentialData.credentialId。

       4. 令 pubKeyCred 为一个新的 PublicKeyCredential 对象，该对象与 global 关联，其字段为：

          [[identifier]]

          id

          authenticatorAttachment

          与该 authenticator 当前的 authenticator attachment modality 相匹配的 AuthenticatorAttachment 值。

          response

          一个新的 AuthenticatorAttestationResponse 对象，与 global 关联，其字段为：

          clientDataJSON

          一个新的 ArrayBuffer， 使用 global 的 %ArrayBuffer% 创建， 包含 credentialCreationData.clientDataJSONResult 的字节。

          attestationObject

          attestationObject

          [[transports]]

          一个按字典序排列且唯一的零个或多个 DOMString 序列，表示该 authenticator 被认为支持的传输方式。该值应为 AuthenticatorTransport 的成员，但 client platforms 必须忽略未知值。

          如果用户代理不希望泄露该信息，则可以用一个旨在保护隐私的任意序列代替。该序列仍然必须有效，即按字典序排序且无重复。例如，可以使用空序列。无论哪种方式，在此情形下用户代理承担风险，即 Relying Party 的行为可能不理想。

          如果用户代理没有任何传输信息，应将该字段设置为空序列。

          注：用户代理如何发现给定 authenticator 支持的传输方式超出本规范范围，但可能包括来自 attestation certificate 的信息（例如 [FIDO-Transports-Ext]），在如 CTAP2 的认证器协议中传达的元数据，或关于 platform authenticators 的特殊情况知识。

          [[clientExtensionsResults]]

          一个新的 ArrayBuffer， 使用 global 的 %ArrayBuffer% 创建， 包含 credentialCreationData.clientExtensionResults 的字节。

       5. 返回 pubKeyCred。

    4. 对 issuedRequests 中其余的每个 authenticator 调用 authenticatorCancel 操作，并将其从 issuedRequests 中移除。

    5. 返回 constructCredentialAlg 并终止此算法。

23. 抛出一个 "NotAllowedError" DOMException。

在上述过程期间，用户代理应向用户展示一些 UI，以指导他们选择并授权认证器。当 options.mediation 被设置为 conditional 时， 应当避免显示显著的模态 UI，除非凭证创建已通过用户代理确定的方式先前获得同意。

该内部方法接受三个参数：

origin

该参数是由调用 get() 实现确定的相关设置对象（relevant settings object） 的 origin，即 CredentialsContainer 的 Request a Credential 抽象操作所确定的 origin。

options

该参数是一个 CredentialRequestOptions 对象，其 options.publicKey 成员包含一个 PublicKeyCredentialRequestOptions 对象，用于指定要发现的 public key credential 的期望属性。

sameOriginWithAncestors

该参数为布尔值，当且仅当调用者的 environment settings object 与其祖先同源（same-origin with its ancestors）时为 true。如果调用者为跨源，则为 false。

注意： 调用此内部方法 表示该操作已被permissions policy 允许，该权限策略在 [CREDENTIAL-MANAGEMENT-1] 级别进行评估。参见 § 5.9 Permissions Policy integration。

注意： 该算法为同步执行： Promise 的解析/拒绝由 navigator.credentials.get() 负责。

在此算法中使用的所有 BufferSource 对象必须在算法开始时进行快照，以避免潜在的同步问题。实现应当 获取缓冲源所持字节的副本 并在算法相关部分使用该副本。

当此方法被调用时，用户代理必须执行下列算法：

1. 断言： options.publicKey 存在。

2. 令 pkOptions 为 options.publicKey 的值。

3. 如果 options.mediation 存在且值为 conditional：

   1. 令 credentialIdFilter 为 pkOptions.allowCredentials 的值。

   2. 将 pkOptions.allowCredentials 设为 空。

      注意： 这样可以防止在 conditional 请求期间使用 non-discoverable credentials。

   3. 将定时器 lifetimeTimer 设为无穷大。

      注意： 将 lifetimeTimer 设为无穷大，是为了让用户在整个 Document 的生命周期内与任何带有 "webauthn" autofill detail token 的 input 表单控件进行交互。例如，当用户点击此类输入字段时，用户代理可以渲染已发现凭证的列表供用户选择，并可能提供“尝试其他方式”的选项。

4. 否则：

   1. 令 credentialIdFilter 为一个 空 列表。

   2. 如果 pkOptions.timeout 存在，则检查其值是否在由 client 定义的合理范围内；若不在，则修正为最接近且位于该范围内的值。 将定时器 lifetimeTimer 设为此调整后值。如果 pkOptions.timeout 不存在，则将 lifetimeTimer 设为 client-特定的默认值。

      关于为 pkOptions.timeout 决定合理范围和值的指导，请参阅 推荐范围和默认值。

      用户代理应在为有特殊需要的用户考虑超时时采用认知方面的指导原则。

5. 令 callerOrigin 为 origin。 如果 callerOrigin 为 opaque origin，则抛出一个 "NotAllowedError" DOMException。

6. 令 effectiveDomain 为 callerOrigin 的 effective domain。 如果该 effective domain 不是一个 有效域名，则抛出一个 "SecurityError" DOMException。

   注意： 一个 effective domain 可能解析为一个 host，而 host 可以以多种方式表示，例如 domain、ipv4 address、ipv6 address、opaque host 或 empty host。 此处仅允许 domain 格式的表示。这样做既为简化，也考虑到在与基于 PKI 的安全结合使用时直接使用 IP 地址识别所带来的各种问题。

7. 如果 pkOptions.rpId

   存在

   如果 pkOptions.rpId 不是 effectiveDomain 的可注册域后缀且与其不相等，且客户端支持：

   支持 related origin requests

   1. 令 rpIdRequested 为 pkOptions.rpId 的值。

   2. 使用参数 callerOrigin 和 rpIdRequested 运行 related origins validation procedure。如果结果为 false，则抛出一个 "SecurityError" DOMException。

   不支持 related origin requests

   抛出一个 "SecurityError" DOMException。

   不存在

   将 pkOptions.rpId 设为 effectiveDomain。

   注意： rpId 表示调用者的 RP ID。除非调用者在调用 get() 时明确设置了 pkOptions.rpId，否则 RP ID 默认为调用者的 origin 的 origin 的 effective domain。

8. 令 clientExtensions 为一个新的 map，并令 authenticatorExtensions 为一个新的 map。

9. 如果 pkOptions.extensions 存在，则对 pkOptions.extensions 中的每个 extensionId → clientExtensionInput 执行：

   1. 如果 extensionId 不被此 client platform 支持，或不是一个 authentication extension，则 继续下一个扩展。

   2. Set clientExtensions[extensionId] 为 clientExtensionInput。

   3. 如果 extensionId 不是一个 authenticator extension，则 继续下一个扩展。

   4. 令 authenticatorExtensionInput 为对 clientExtensionInput 运行该 extensionId 的 client extension processing 算法后得到的（CBOR）结果。如果该算法返回错误，则 继续下一个扩展。

   5. Set authenticatorExtensions[extensionId] 为 authenticatorExtensionInput 的 base64url 编码。

10. 令 collectedClientData 为一个新的 CollectedClientData 实例，其字段为：

    type

    字符串 "webauthn.get"。

    challenge

    pkOptions.challenge 的 base64url 编码。

    origin

    callerOrigin 的 序列化表示。

    crossOrigin

    此值为传入此内部方法 的参数 sameOriginWithAncestors 的反值（inverse）。

    topOrigin

    如果传入的 sameOriginWithAncestors 参数为 false，则为 callerOrigin 的顶层 origin 的 序列化表示，否则为 undefined。

11. 令 clientDataJSON 为由 collectedClientData 构造的 与 JSON 兼容的客户端数据序列化。

12. 令 clientDataHash 为由 clientDataJSON 表示的序列化客户端数据的哈希，参见 说明。

13. 如果 options.signal 存在且 已中止（aborted），则抛出该 signal 的中止原因（abort reason）。

14. 令 issuedRequests 为一个新的 有序集合（ordered set）。

15. 令 savedCredentialIds 为一个新的 map。

16. 令 authenticators 表示一个值，该值在任一时刻为一个有序集合，其中每个项标识在该时刻此 client platform 上当前可用的一个 authenticator 的本地句柄。

    注意： 何谓“可用的”认证器未作具体规定；这旨在表示认证器可以通过多种机制被热插拔（hot-plug，例如 USB）或被发现（例如 NFC 或蓝牙），或永久内置于客户端。

17. 令 silentlyDiscoveredCredentials 为一个新的 map，其 条目 形式为：DiscoverableCredentialMetadata → authenticator。

18. 根据 hints 的值并由用户代理酌情设计用户界面。

19. 启动 lifetimeTimer。

20. 当 lifetimeTimer 未到期时，基于 lifetimeTimer 以及 authenticators 中每个 authenticator 的状态与响应，执行下列操作：

    如果 lifetimeTimer 到期，

    对 issuedRequests 中的每个 authenticator 调用 authenticatorCancel 并将其从 issuedRequests 中移除。

    如果用户在用户代理 UI 中选择取消该过程，

    对 issuedRequests 中的每个 authenticator 调用 authenticatorCancel 并将其从 issuedRequests 中移除。抛出一个 "NotAllowedError" DOMException。

    如果 options.signal 存在且 已中止，

    对 issuedRequests 中的每个 authenticator 调用 authenticatorCancel 并将其从 issuedRequests 中移除。然后抛出该 signal 的中止原因（abort reason）。

    如果 options.mediation 为 conditional 且用户与带有 input 或 textarea 表单控件交互， 且该控件具有 autocomplete 属性，其 non-autofill credential type 为 "webauthn"，

    注意： "webauthn" 的 autofill detail token 必须紧接在最后一个类型为 "Normal" 或 "Contact" 的 autofill detail token 之后。例子：

    • "username webauthn"

    • "current-password webauthn"

    1. 如果 silentlyDiscoveredCredentials 非 空：

       1. 提示用户可选地从 silentlyDiscoveredCredentials 中选择一个 DiscoverableCredentialMetadata。 提示应当展示每个 DiscoverableCredentialMetadata 的 otherUI 中的值，例如 name 和 displayName。

          令 credentialMetadata 为用户选择的 DiscoverableCredentialMetadata，如果用户有选择的话。

       2. 如果用户选择了一个 credentialMetadata，

          1. 令 publicKeyOptions 为 pkOptions 的临时副本。

          2. 令 authenticator 为 silentlyDiscoveredCredentials[credentialMetadata] 的值。

          3. 将 publicKeyOptions.allowCredentials 设置为只包含一个 PublicKeyCredentialDescriptor 项的列表， 其中该项的 id 的值设置为 credentialMetadata 的 id 的值， 其 type 的值设置为 credentialMetadata 的 type。

          4. 对 authenticator 执行 issuing a credential request to an authenticator 算法，参数为 authenticator、savedCredentialIds、publicKeyOptions、rpId、clientDataHash 和 authenticatorExtensions。

             如果该调用返回 false，则 继续（跳过该认证器）。

          5. Append authenticator 到 issuedRequests。

    如果 options.mediation 不是 conditional， 且 issuedRequests 为空， pkOptions.allowCredentials 非空， 且其中没有任何 authenticator 将可用于任何其中列出的 public key credentials，

    向用户指示未找到合格凭证。当用户确认对话框后，抛出一个 "NotAllowedError" DOMException。

    注意： 客户端平台可以通过检查当前 pkOptions.allowCredentials 中每个 PublicKeyCredentialDescriptor 项的 transports 成员来判断没有认证器会变得可用。例如，如果所有 PublicKeyCredentialDescriptor 项仅列出 internal，但所有平台认证器（platform authenticators）都已被尝试，则不存在满足请求的可能性。或者，所有 PublicKeyCredentialDescriptor 项可能列出了客户端平台不支持的 transports。

    如果某个 authenticator 在此 client device 上变为可用，

    注意： 这也包括在启动 lifetimeTimer 时认证器已可用的情况。

    1. 如果 options.mediation 为 conditional 且该 authenticator 支持 silentCredentialDiscovery 操作：

       1. 令 collectedDiscoveredCredentialMetadata 为对该 authenticator 执行 silentCredentialDiscovery 操作（以 rpId 为参数） 的结果。

       2. 对 collectedDiscoveredCredentialMetadata 中的每个 credentialMetadata：

          1. 如果 credentialIdFilter 为空 或者 credentialIdFilter 包含一个项，其 id 的值等于 credentialMetadata 的 id，则将 silentlyDiscoveredCredentials[credentialMetadata] 设为 authenticator。

             注意： 在用户通过特定 UI 上的交互选择凭证时，将向该认证器发出请求（详见上文相关部分）。

    2. 否则：

       1. 执行 issuing a credential request to an authenticator 算法，参数为 authenticator、savedCredentialIds、pkOptions、rpId、clientDataHash 和 authenticatorExtensions。

          如果该调用返回 false，则 继续（跳过该认证器）。

          注意： 如果 options.mediation 为 conditional 且该 authenticator 不支持 silentCredentialDiscovery，则会走到此分支以允许在 conditional 的 user mediation 请求中使用此类认证器。

       2. Append authenticator 到 issuedRequests。

    如果某个 authenticator 在此 client device 上不再可用，

    从 issuedRequests 中 移除 该 authenticator。

    如果任何 authenticator 返回表示用户取消操作的状态，

    1. 从 issuedRequests 中 移除 该 authenticator。

    2. 对 issuedRequests 中的每个剩余 authenticator 调用 authenticatorCancel 并将其从 issuedRequests 中移除。

       注意： 认证器可能返回“用户取消了整个操作”的指示，用户代理如何向用户呈现该状态未作规定。

    如果任何 authenticator 返回错误状态，

    从 issuedRequests 中 移除 该 authenticator。

    如果任何 authenticator 指示成功，

    1. 从 issuedRequests 中 移除 该 authenticator。

    2. 令 assertionCreationData 为一个 struct，其 items 如下：

       credentialIdResult

       如果 savedCredentialIds[authenticator] 存在，则将 credentialIdResult 的值设为 savedCredentialIds[authenticator] 的字节。否则，将其值设为在成功的 authenticatorGetAssertion 操作中返回的 credential ID 的字节（详见 § 6.3.3）。

       clientDataJSONResult

       其值为 clientDataJSON 的字节。

       authenticatorDataResult

       其值为该 authenticator 返回的 authenticator data 的字节。

       signatureResult

       其值为该 authenticator 返回的签名值的字节。

       userHandleResult

       如果该 authenticator 返回了 user handle，则将 userHandleResult 的值设为返回的 user handle 的字节。否则，将其设为 null。

       clientExtensionResults

       其值为一个 AuthenticationExtensionsClientOutputs 对象，包含 扩展标识符 → 客户端扩展输出 的条目。这些条目是对 pkOptions.extensions 中的每个客户端扩展运行其 client extension processing 算法以创建对应的客户端扩展输出而生成的。

    3. 如果 credentialIdFilter 非空且 credentialIdFilter 不包含一个项，其 id 的值等于 credentialIdResult 的值，则 继续（跳过该认证器）。

    4. 如果 credentialIdFilter 为空且 userHandleResult 为 null，则 继续（跳过该认证器）。

    5. 令 settings 为当前的 settings object。令 global 为 settings 的 global object。

    6. 令 pubKeyCred 为与 global 关联的新 PublicKeyCredential 对象，其字段为：

       [[identifier]]

       一个新的 ArrayBuffer， 使用 global 的 %ArrayBuffer% 创建，包含 assertionCreationData.credentialIdResult 的字节。

       authenticatorAttachment

       与该 authenticator 当前 attachment modality 相匹配的 AuthenticatorAttachment 值。

       response

       一个新的与 global 关联的 AuthenticatorAssertionResponse 对象，其字段为：

       clientDataJSON

       一个新的 ArrayBuffer， 使用 global 的 %ArrayBuffer% 创建，包含 assertionCreationData.clientDataJSONResult 的字节。

       authenticatorData

       一个新的 ArrayBuffer， 使用 global 的 %ArrayBuffer% 创建，包含 assertionCreationData.authenticatorDataResult 的字节。

       signature

       一个新的 ArrayBuffer， 使用 global 的 %ArrayBuffer% 创建，包含 assertionCreationData.signatureResult 的字节。

       userHandle

       如果 assertionCreationData.userHandleResult 为 null，则将此字段设为 null。否则，将此字段设为一个新的 ArrayBuffer， 使用 global 的 %ArrayBuffer% 创建，包含 assertionCreationData.userHandleResult 的字节。

       [[clientExtensionsResults]]

       一个新的 ArrayBuffer， 使用 global 的 %ArrayBuffer% 创建，包含 assertionCreationData.clientExtensionResults 的字节。

    7. 对 issuedRequests 中的每个剩余 authenticator 调用 authenticatorCancel 并将其从 issuedRequests 中移除。

    8. 返回 pubKeyCred 并终止该算法。

21. 抛出一个 "NotAllowedError" DOMException。

对于 Web Authentication 的 PublicKeyCredential 类型，[[Store]](credential, sameOriginWithAncestors) 方法不受支持，因此其实现的 [[Store]](credential, sameOriginWithAncestors) 内部方法 总是抛出错误。

注意： 此算法为同步执行；Promise 的解析/拒绝由 navigator.credentials.store() 处理。

该内部方法接受两个参数：

credential

此参数为一个 PublicKeyCredential 对象。

sameOriginWithAncestors

此参数为布尔值，当且仅当调用者的 environment settings object 与其祖先同源（same-origin with its ancestors）时为 true。

当此方法被调用时，用户代理必须执行下列算法：

1. 抛出一个 "NotSupportedError" DOMException。

WebAuthn Relying Parties 使用此方法来判断是否可以使用 user-verifying platform authenticator 来创建新凭证。 在调用时，client 将通过特定于 client platform 的过程去发现可用的 user-verifying platform authenticators。 如果发现了任一此类设备，则返回的 promise 会以 true 解析，否则以 false 解析。 基于该结果，Relying Party 可采取进一步措施引导用户创建凭证。

此方法无参数，返回一个布尔值。

partial interface PublicKeyCredential {
    static Promise<boolean> isUserVerifyingPlatformAuthenticatorAvailable();
};

WebAuthn Relying Parties 使用此方法来判断一组有限的 client 能力是否可用，从而为用户提供某些工作流或体验。例如，在某些客户端上仅当存在 hybrid 传输可用或 conditional mediation 不可用时（而不是显示用户名字段），RP 可能会在页面上提供一个登录按钮。

在调用时，client 通过特定于 client platform 的过程来发现这些能力的可用性。

此方法无参数，返回一个将能力键映射到布尔值的记录（record）。

partial interface PublicKeyCredential {
    static Promise<PublicKeyCredentialClientCapabilities> getClientCapabilities();
};

typedef record<DOMString, boolean> PublicKeyCredentialClientCapabilities;

PublicKeyCredentialClientCapabilities 中的键（Keys）必须按升序字典序排序。 键集合应包含 枚举值 集合（即 ClientCapability 的值），但客户端可按需省略某些键；见 § 14.5.4 披露客户端能力。

当某项能力的值为 true 时，表示该功能已知当前被客户端支持。 当某项能力的值为 false 时，表示该功能已知当前不被客户端支持。 当某项能力作为键不存在时，该客户端功能的可用性未知（unknown）。

该键集合还应为客户端实现的每个扩展包含一个键，键的形式为在扩展标识符前加上字符串 extension:。对于每个实现的扩展，其对应值应为 true。如果某个客户端支持 getClientCapabilities()，但未将某扩展映射为 true，则 Relying Party 可以假定该客户端不会执行该扩展的客户端处理步骤，并且该扩展可能不会转发给 authenticator。

注意即便某扩展映射为 true，用于某次操作的 authenticator 也可能不支持该扩展，因此 Relying Parties 不得仅据此假定 authenticator 会执行该扩展的处理步骤。

WebAuthn Relying Party 使用此方法将 JSON 类型 表示的 navigator.credentials.create() 的选项 转换为 PublicKeyCredentialCreationOptions。

此方法调用时，客户端 必须将 options 参数转换为新的、结构相同的 PublicKeyCredentialCreationOptions 对象，使用 base64url 编码 解码 DOMString 属性，这些属性在 PublicKeyCredentialCreationOptionsJSON 中对应 buffer source type 属性，在 PublicKeyCredentialCreationOptions 中也有。 此转换也必须应用于 客户端扩展输入，由 客户端处理。

AuthenticationExtensionsClientInputsJSON 可以包含 IANA 注册表 "WebAuthn Extension Identifiers" 中已注册但未在 § 9 WebAuthn Extensions定义的扩展。

如果 客户端 解析任何 JSON 类型 表示时遇到问题， 必须抛出 "EncodingError" DOMException ，并在描述中说明不兼容的值，并终止操作。

partial interface PublicKeyCredential {
    static PublicKeyCredentialCreationOptions parseCreationOptionsFromJSON(PublicKeyCredentialCreationOptionsJSON options);
};

dictionary PublicKeyCredentialCreationOptionsJSON {
    required PublicKeyCredentialRpEntity                    rp;
    required PublicKeyCredentialUserEntityJSON              user;
    required Base64URLString                                challenge;
    required sequence<PublicKeyCredentialParameters>        pubKeyCredParams;
    unsigned long                                           timeout;
    sequence<PublicKeyCredentialDescriptorJSON>             excludeCredentials = [];
    AuthenticatorSelectionCriteria                          authenticatorSelection;
    sequence<DOMString>                                     hints = [];
    DOMString                                               attestation = "none";
    sequence<DOMString>                                     attestationFormats = [];
    AuthenticationExtensionsClientInputsJSON                extensions;
};

dictionary PublicKeyCredentialUserEntityJSON {
    required Base64URLString        id;
    required DOMString              name;
    required DOMString              displayName;
};

dictionary PublicKeyCredentialDescriptorJSON {
    required DOMString              type;
    required Base64URLString        id;
    sequence<DOMString>             transports;
};

dictionary AuthenticationExtensionsClientInputsJSON {
};

WebAuthn Relying Parties 使用此方法将用于 navigator.credentials.get() 的选项的 JSON 表示转换为 PublicKeyCredentialRequestOptions。

在调用时，client 必须将 options 参数转换为一个新的、结构相同的 PublicKeyCredentialRequestOptions 对象， 并使用 base64url 编码 解码出现在 DOMString 属性中对应于 PublicKeyCredentialRequestOptionsJSON 的那些值，这些值对应于 PublicKeyCredentialRequestOptions 中的 buffer source 类型属性。 该转换也必须应用于任何由 client extension inputs 所处理的扩展。

AuthenticationExtensionsClientInputsJSON 可能包括在 IANA “WebAuthn Extension Identifiers” 注册表中注册但未在本规范（§ 9 WebAuthn Extensions）中定义的扩展。

如果 client 在解析任何 JSON 表示时遇到问题，则必须抛出一个 "EncodingError" 的 DOMException，并附带不兼容值的描述，然后终止操作。

partial interface PublicKeyCredential {
    static PublicKeyCredentialRequestOptions parseRequestOptionsFromJSON(PublicKeyCredentialRequestOptionsJSON options);
};

dictionary PublicKeyCredentialRequestOptionsJSON {
    required Base64URLString                                challenge;
    unsigned long                                           timeout;
    DOMString                                               rpId;
    sequence<PublicKeyCredentialDescriptorJSON>             allowCredentials = [];
    DOMString                                               userVerification = "preferred";
    sequence<DOMString>                                     hints = [];
    AuthenticationExtensionsClientInputsJSON                extensions;
};

clientDataJSON, of type ArrayBuffer, readonly

该属性包含了 与 JSON 兼容的序列化 的 客户端数据，其 哈希值 由客户端在调用 create() 或 get() 时传递给认证器（即客户端数据本身并不直接发送给认证器）。

clientDataJSON

该属性继承自 AuthenticatorResponse， 包含了传递给认证器以生成该凭证的 与 JSON 兼容的客户端数据序列化（见 § 6.5 Attestation）。 必须保留精确的 JSON 序列化形式，因为对序列化的客户端数据所计算的 哈希 就是基于该序列化结果计算的。

attestationObject, of type ArrayBuffer, readonly

该属性包含一个 attestation object，其对客户端是不透明的，并受到加密保护以防客户端篡改。attestation object 同时包含 authenticator data 和一个 attestation statement。 前者包含 AAGUID、唯一的 credential ID 以及 credential public key。 attestation statement 的内容由认证器使用的 attestation statement format 决定。 它还包含了 Relying Party 的服务器在验证 attestation statement 时所需的任何额外信息，以及用于解码和验证 authenticator data 与客户端数据的 JSON 兼容序列化 的信息。更多细节见 § 6.5 Attestation、§ 6.5.4 Generating an Attestation Object 与 图 6。

getTransports()

此操作返回 [[transports]] 的值。

getAuthenticatorData()

此操作返回包含在 attestationObject 中的 authenticator data。参见 § 5.2.1.1 Easily accessing credential data。

getPublicKey()

此操作返回新凭证的 DER 格式的 SubjectPublicKeyInfo，如果不可用则返回 null。参见 § 5.2.1.1 Easily accessing credential data。

getPublicKeyAlgorithm()

此操作返回新凭证的 COSEAlgorithmIdentifier。参见 § 5.2.1.1 Easily accessing credential data。

[[transports]]

该内部槽 包含按字典序排列的零个或多个唯一 DOMString。这些值表示认为认证器支持的传输方式，若信息不可用则为一个空序列。值应当是 AuthenticatorTransport 的成员，但 Relying Parties 应接受并存储未知值。

clientDataJSON

该属性继承自 AuthenticatorResponse， 包含了传递给认证器以生成该断言的 与 JSON 兼容的客户端数据序列化（见 § 5.8.1 Client Data Used in WebAuthn Signatures (dictionary CollectedClientData)）。 必须保留精确的 JSON 序列化形式，因为对序列化的客户端数据所计算的 哈希 就是基于该序列化结果计算的。

authenticatorData, of type ArrayBuffer, readonly

该属性包含认证器返回的 authenticator data。参见 § 6.1 Authenticator Data。

signature, of type ArrayBuffer, readonly

该属性包含认证器返回的原始签名。参见 § 6.3.3 The authenticatorGetAssertion Operation。

userHandle, of type ArrayBuffer, readonly, nullable

该属性包含认证器返回的 user handle，如果认证器未返回 user handle，则为 null。参见 § 6.3.3 The authenticatorGetAssertion Operation。如果在 authentication ceremony 中使用的 allowCredentials 选项为空列表（empty），则认证器必须始终返回一个 user handle；在其他情况下认证器可以选择返回或不返回。

type, of type DOMString

该成员指定将被创建的凭证类型。其值应当是 PublicKeyCredentialType 的成员，但 client platforms 必须忽略未知值，忽略任何具有未知 type 的 PublicKeyCredentialParameters。

alg, of type COSEAlgorithmIdentifier

该成员指定用于新生成凭证的加密签名算法类型，从而也决定要生成的非对称密钥对的类型，例如 RSA 或 椭圆曲线。

注意： 我们使用 "alg" 作为成员名，而不是完整拼写 "algorithm"，是因为它会被序列化到发往认证器的消息中，该消息可能通过低带宽链路发送。

rp, of type PublicKeyCredentialRpEntity

该成员包含负责该请求的 Relying Party 的名称和标识符。

其值的 name 成员为 必需。详见 § 5.4.1 Public Key Entity Description (dictionary PublicKeyCredentialEntity) 以获取更多细节。

其值的 id 成员指定凭证应当作用于的 RP ID 的范围。如果省略， 则其值将默认为 CredentialsContainer 对象的 relevant settings object 的 origin 的 effective domain。详见 § 5.4.2 Relying Party Parameters for Credential Generation (dictionary PublicKeyCredentialRpEntity) 以获取更多细节。

user, of type PublicKeyCredentialUserEntity

该成员包含执行registration的用户账户的名称和标识符。

其值的 name、 displayName 与 id 成员为 必需。 id 可以在将来的某些authentication ceremonies中作为 userHandle 返回，并用于覆盖在同一 authenticator 上、具有相同 rp.id 与 user.id 的可发现凭证（discoverable credentials）。 name 与 displayName 可由authenticator和client在将来的authentication ceremonies中使用， 以帮助用户选择一个credential，但这些字段不会在将来的authentication ceremonies的结果中返回给Relying Party

更多细节请参见 § 5.4.1 Public Key Entity Description (dictionary PublicKeyCredentialEntity) 与 § 5.4.3 User Account Parameters for Credential Generation (dictionary PublicKeyCredentialUserEntity)。

challenge, of type BufferSource

该成员指定一个质询，authenticator 在为新创建的凭证生成 attestation object 时会对该质询（及其他数据）进行签名。参见 § 13.4.3 Cryptographic Challenges 中的安全注意事项。

pubKeyCredParams, of type sequence<PublicKeyCredentialParameters>

该成员列出了 Relying Party 支持的密钥类型和签名算法， 按照从最优先到最不优先的顺序排列。 允许有重复项，但实际上会被忽略。 客户端 和 认证器 会尽最大努力创建最优先类型的凭据。 如果无法创建所列类型中的任何一种，create() 操作将失败。

希望支持广泛 authenticators 的 Relying Parties 应当至少包含以下 COSEAlgorithmIdentifier 值：

• -8 (EdDSA)

• -7 (ES256)

• -257 (RS256)

可以根据需要包含额外的签名算法。

下列由 [RFC9864] 引入的完全指定的 COSEAlgorithmIdentifier 值 不推荐 在 pubKeyCredParams 中使用：

• -9 (ESP256); 建议改用或同时使用 -7 (ES256)。

• -51 (ESP384); 建议改用或同时使用 -35 (ES384)。

• -52 (ESP512); 建议改用或同时使用 -36 (ES512)。

• -19 (Ed25519); 建议改用或同时使用 -8 (EdDSA)。

注：在 WebAuthn 中，值 -9 (ESP256)、-51 (ESP384)、-52 (ESP512) 和 -19 (Ed25519) 分别与 -7 (ES256)、-35 (ES384)、-36 (ES512) 和 -8 (EdDSA) 表示相同的事物，但由于在 § 5.8.5 Cryptographic Algorithm Identifier (typedef COSEAlgorithmIdentifier) 中规定了附加限制， 它们在实践中并不互换，因为许多实现支持后者标识符但不支持前者。因此为向后兼容，建议在 pubKeyCredParams 中优先使用后者标识符。

timeout, of type unsigned long

此可选成员指定以毫秒为单位的时间，表示 Relying Party 愿意等待调用完成的时长。 该字段被视为提示，client 可覆盖该值。

excludeCredentials, of type sequence<PublicKeyCredentialDescriptor>, defaulting to []

Relying Party 应当使用此可选成员列出映射到该用户账户的任何现有凭证（由 user.id 标识）。 这可确保不会在已存在映射到该用户账户 的凭证的 authenticator 上“创建”新凭证。 若会发生此情况，则请求 client 指导用户使用不同的authenticator，若失败则返回错误。

authenticatorSelection, of type AuthenticatorSelectionCriteria

Relying Party 可使用此可选成员指定 authenticator 必须或应当满足的能力和设置，以参与 create() 操作。 详见 § 5.4.4 Authenticator Selection Criteria (dictionary AuthenticatorSelectionCriteria)。

hints, of type sequence<DOMString>, defaulting to []

此可选成员包含零个或多个来自 PublicKeyCredentialHint 的元素，以引导用户代理与用户交互。注意这些元素的类型为 DOMString，尽管它们取自该枚举。详见 § 2.1.1 Enumerations as DOMString types。

attestation, of type DOMString, defaulting to "none"

Relying Party 可使用此可选成员指定关于 attestation conveyance 的偏好。 其值应当是 AttestationConveyancePreference 的成员。 Client platforms 必须忽略未知值，并将未知值视为该成员不存在。

默认值为 none。

attestationFormats, of type sequence<DOMString>, defaulting to []

Relying Party 可使用此可选成员指定关于 attestation 语句格式的偏好，该格式由 authenticator 使用。 值应当从 IANA “WebAuthn Attestation Statement Format Identifiers” 注册表（由 [IANA-WebAuthn-Registries]，由 [RFC8809] 建立）中选取。 值按从最优先到最不优先排序。允许重复但实际被忽略。该参数为参考性，authenticator 可使用未在此参数中列举的 attestation 语句。

默认值为空列表，表示无偏好。

extensions, of type AuthenticationExtensionsClientInputs

Relying Party 可使用此可选成员提供 client extension inputs， 请求 client 与 authenticator 做额外处理。 例如，Relying Party 可能请求客户端返回关于所创建credential 的附加信息。

扩展框架在 § 9 WebAuthn Extensions 中定义。部分扩展在 § 10 Defined Extensions 中定义；请查阅由 [RFC8809] 建立的 IANA “WebAuthn Extension Identifiers” 注册表（[IANA-WebAuthn-Registries]）以获取已注册 WebAuthn Extensions 的最新列表。

name, of type DOMString

实体的一个便于人类识别的名称。其作用取决于该 PublicKeyCredentialEntity 表示的对象：

• [已弃用] 当被 PublicKeyCredentialRpEntity 继承时，它是供人类识别的 Relying Party 的标识，仅用于显示。例如 “ACME Corporation”、“Wonderful Widgets, Inc.” 或 “ОАО Примертех”。

  该成员被弃用是因为许多 clients 并不显示它，但为向后兼容仍然保留为必需的字典成员。 Relying Parties 可将其安全默认值设置为 RP ID。

  • Relying Parties 在设置 name 的值或向用户显示该值时，应当按照 [RFC8266] 中针对 PRECIS FreeformClass 的 Nickname 配置文件在第 2.3 节规定的强制规则来执行。

  • Clients 在向用户显示 name 的值或在将该值作为 authenticatorMakeCredential 操作的参数之前，应该按照 [RFC8266] 中针对 PRECIS FreeformClass 的 Nickname 配置文件在第 2.3 节规定的强制规则来执行。

• 当被 PublicKeyCredentialUserEntity 继承时，它是用于表示用户账户的一个便于人类识别的标识。该标识是 Clients 向用户显示的主要值，用以帮助用户理解某个凭证与哪个用户账户相关联。

  此标识的合适示例值包括 “alexm”、“+14255551234”、“alex.mueller@example.com”、“alex.mueller@example.com (prod-env)” 或 “alex.mueller@example.com (ОАО Примертех)”。

  • Relying Party 可允许用户选择该值。Relying Party 在设置 name 的值或向用户显示该值时，应当按照 [RFC8265] 中针对 PRECIS IdentifierClass 的 UsernameCasePreserved 配置文件在第 3.4.3 节规定的强制规则来执行。

  • Clients 在向用户显示 name 的值或在将该值作为 authenticatorMakeCredential 操作的参数之前，应当按照 [RFC8265] 中针对 PRECIS IdentifierClass 的 UsernameCasePreserved 配置文件在第 3.4.3 节规定的强制规则来执行。

当 clients、client platforms 或 authenticators 显示 name 的值时，它们应始终使用用户界面元素在显示的值周围提供明确边界，并避免该值溢出到其他元素中 [css-overflow-3]。

在存储 name 成员的值时，该值可以按 § 6.4.1 字符串截断 所述进行截断，使用的大小限制应大于或等于 64 字节。

id, of type DOMString

用于标识该 服务方 实体的唯一标识符，用来设置 RP ID。

id, of type BufferSource

该 user handle 属于进行用户账户的标识。 user handle 是一个不透明的字节序列，最大为 64 字节，不应向用户展示。

为确保安全操作，认证和授权决策必须基于此 id 成员，而不是基于 displayName 或 name 成员。参见 [RFC8266] 第 6.1 节。

user handle 不得包含可识别用户个人身份的信息，例如用户名或电子邮件地址；详见 § 14.6.1 User Handle Contents。user handle 不得为空。

user handle 不应在不同用户账户之间使用相同的常量值，即便对于不可发现凭证也是如此，因为某些认证器总是创建可发现凭证。因此，若使用恒定的user handle，该用户将无法在同一Relying Party 下将该认证器用于多个用户账户。

displayName, of type DOMString

用于表示用户账户的一个便于人类识别的名称，仅用于展示。Relying Party 应允许用户选择该值，并且不应对选择施加不必要的限制。如果找不到合适或便于人类识别的名称，Relying Party 应将此值设为空字符串。

此标识的合适示例值包括 “Alex Müller”、“Alex Müller (ACME Co.)” 或 “田中倫”。

• Relying Parties 在将 displayName 设置为非空字符串或向用户显示非空值时，应按照 [RFC8266] 中针对 PRECIS FreeformClass 的 Nickname 配置文件第 2.3 节规定的强制规则执行。

• Clients 在向用户显示非空的 displayName 值或在将其作为 authenticatorMakeCredential 操作的参数之前，应按照 [RFC8266] 中针对 PRECIS FreeformClass 的 Nickname 配置文件第 2.3 节规定的强制规则执行。

当 clients、client platforms 或 authenticators 显示 displayName 的值时，应始终使用 UI 元素在显示的值周围提供明确的边界，并避免该值溢出到其他元素中 [css-overflow-3]。

在存储 displayName 成员的值时，可按 § 6.4.1 字符串截断 中的描述进行截断，使用的大小限制应 >= 64 字节。

authenticatorAttachment, of type DOMString

如果存在此成员，则会将符合条件的 authenticators 过滤为仅那些以指定 authenticator attachment modality 方式连接的认证器（另见 § 6.2.1 Authenticator Attachment Modality）。 如果此成员缺失，则接受任何连接方式。该值应为 AuthenticatorAttachment 的成员，但 client platforms 必须忽略未知值，将未知值视为该成员不存在。

另见 authenticatorAttachment 成员（属于 PublicKeyCredential）， 它可指示在成功的 create() 或 get() 操作中使用了哪种 authenticator attachment modality。

residentKey, of type DOMString

指定 Relying Party 希望创建 client-side discoverable credential 的程度。 出于历史原因，命名保留了已弃用的“resident”术语。该值应为 ResidentKeyRequirement 的成员，但 client platforms 必须忽略未知值，将未知值视为该成员不存在。如果未提供值，则当 requireResidentKey 为 true 时，有效值为 required；若为 false 或缺失，则为 discouraged。

有关 ResidentKeyRequirement 的值及语义的描述，请参阅 residentKey。

requireResidentKey, of type boolean, defaulting to false

此成员为与 WebAuthn Level 1 向后兼容而保留，出于历史原因其命名保留了针对 discoverable credentials 的已弃用“resident”术语。Relying Parties 应当当且仅当 residentKey 被设置为 required 时，将其设置为 true。

userVerification, of type DOMString, defaulting to "preferred"

此成员指定 Relying Party 对于 user verification 在 create() 操作中的要求。该值应为 UserVerificationRequirement 的成员，但 client platforms 必须忽略未知值，将未知值视为该成员不存在。

有关 UserVerificationRequirement 的值及语义的描述，请参阅 userVerification。

platform

该值表示 platform attachment。

cross-platform

该值表示 cross-platform attachment。

discouraged

Relying Party 更倾向于创建 服务端凭据，但也能接受 客户端可发现凭据。 客户端 和 认证器 应在可能的情况下创建 服务端凭据。

注意： Relying Party 不能强制要求所创建的凭据必须为 服务端凭据，Credential Properties Extension 也可能不会返回 rk 属性的值。因此，有可能无法得知某凭据是否为 服务端凭据，也无法确认是否创建同一 用户句柄的第二个凭据会驱逐第一个。

preferred

Relying Party 强烈倾向于创建 客户端可发现凭据， 但也能接受 服务端凭据。 客户端 和 认证器 应在可能的情况下创建 可发现凭据。 例如，客户端 应指导用户进行 用户验证 的设置，以便创建 可发现凭据。这优先于 userVerification 的设置。

required

Relying Party 要求必须创建 客户端可发现凭据。 客户端 必须在无法创建 客户端可发现凭据 时返回错误。

none

该 Relying Party 对 authenticator 的 attestation 不感兴趣。例如，为了可能避免需要取得 用户同意 以将可识别信息转发给 Relying Party， 或者为了省去往返于 Attestation CA 或 Anonymization CA 的一次请求。 如果 authenticator 生成了非 self attestation 的 attestation statement, 则 client 会将其替换为 None attestation statement。

这是默认值，未知值将回退到此行为。

indirect

该 Relying Party 希望收到可验证的 attestation statement， 但允许 client 决定如何获取该 attestation statement。 客户端可以用由 Anonymization CA 生成的 attestation statement 来替换认证器生成的 attestation statement, 以保护用户隐私，或在异构生态中协助 Relying Parties 进行 attestation 验证。

注意：在此情况下并不保证 Relying Party 一定能获得可验证的 attestation statement。例如，当认证器使用 self attestation 且 client 未对该 attestation statement 做修改直接传递时，就可能发生这种情况。

direct

该 Relying Party 希望直接收到由 authenticator 原样生成的 attestation statement。

enterprise

该 Relying Party 希望获得企业级的 attestation，即一种可能包含可唯一标识认证器信息的 attestation statement。 该选项用于企业内部的受控部署场景，组织希望将注册与特定认证器绑定。除非用户代理或认证器配置允许针对请求的 RP ID 提供此类 attestation，否则用户代理必须不提供此类 attestation。

如果允许，用户代理应当在调用时（参见 invocation time）向认证器发出请求企业级 attestation 的信号，并将得到的 AAGUID 与 attestation statement 原样传递给 Relying Party。

type, 类型为 DOMString

此成员在创建新凭证时包含字符串 "webauthn.create"，在获取已有凭证断言时为 "webauthn.get"。该成员的目的是防止某些类型的签名混淆攻击（攻击者用一个合法签名替换另一个）。

challenge, 类型为 DOMString

此成员包含由依赖方提供的 challenge 的 base64url 编码。参见 § 13.4.3 密码挑战安全考量。

origin, 类型为 DOMString

此成员包含请求方的完全限定源（origin），由客户端提供给认证器，语法定义见[RFC6454]。

crossOrigin, 类型为 boolean

此可选成员包含传给 内部方法的 sameOriginWithAncestors 参数的取反值。

topOrigin, 类型为 DOMString

此可选成员包含请求方的完全限定顶级源，语法定义见[RFC6454]。仅在调用上下文与其祖先非同源（即same-origin with its ancestors为假时）设置，亦即crossOrigin为true。

[保留] tokenBinding

该可选成员包含有关在与 令牌绑定 协议 [TokenBinding] 与 服务方 通信时的状态信息。其缺失表示客户端不支持令牌绑定

注意：虽然Token Binding 曾在 WebAuthn Level 1 和 Level 2 出现，其在 Level 3 不再使用。tokenBinding 字段被保留，不会被其他用途复用。

status, 类型为 DOMString

此成员应为TokenBindingStatus 的成员，但客户端平台必须忽略未知值，将未知值视为tokenBinding 成员不存在。已知时，该成员为下列之一：

supported

表示客户端支持 token binding，但与依赖方通信时未协商。

present

表示与依赖方通信时已使用 token binding。此时，必须包含id成员。

注意： 枚举TokenBindingStatus故意未被引用，详见§ 2.1.1 枚举作为 DOMString 类型。

id, 类型为 DOMString

当status 为 present 时，该成员必须存在， 并且是向 依赖方通信时所用 Token Binding ID 的 base64url 编码。

注意： 获得 Token Binding ID 是客户端平台特定的操作。