Web 身份验证：
用于访问公钥凭据的 API
第 4 级

通过将 options.mediation 设置为 conditional， 依赖方可以 表示，如果用户已经同意创建凭据，则希望在没有显著模态 UI 的情况下注册凭据。 依赖方应该 首先使用 getClientCapabilities() 检查客户端是否支持 conditionalCreate 能力， 以防止该功能不可用时出现用户可见的错误。 当 options.mediation 设置为 conditional 时，客户端必须将 requireUserPresence 和 requireUserVerification 两者都设置为 FALSE，除非它们可以在仪式期间显式执行。

任何 navigator.credentials.create() 操作都可以利用 AbortController 中止；详细说明请参阅DOM § 3.3 在 API 中使用 AbortController 和 AbortSignal 对象。

此内部方法接受三个 参数：

origin

此参数是相关设置对象的源，由调用 create() 的实现确定。

options

此参数是一个 CredentialCreationOptions 对象，其 options.publicKey 成员包含一个 PublicKeyCredentialCreationOptions 对象，用于指定待创建公钥 凭据的期望属性。

sameOriginWithAncestors

此参数是一个 Boolean 值，当且仅当调用者的环境设置对象与 其祖先同源时为 true。如果调用者是跨源的，则为 false。

注：调用此内部方法表示 它已被 权限策略允许，该策略在[CREDENTIAL-MANAGEMENT-1]层级进行评估。 请参阅§ 5.9 权限策略集成。

注：此算法是 同步的：Promise 的兑现/拒绝由 navigator.credentials.create() 处理。

此算法中使用的所有 BufferSource 对象都必须在算法开始时创建快照，以 避免潜在的同步问题。实现应该获取缓冲区源所持字节的副本，并 在算法的相关部分中使用该副本。

调用此方法时，用户代理必须执行以下算法：

1. 断言： options.publicKey 存在。

2. 如果 sameOriginWithAncestors 为 false：

   1. 如果 options.mediation 存在且值为 conditional：

      1. 抛出一个 "NotAllowedError" DOMException

   2. 如果由调用 create() 的实现所确定的相关全局对象没有 瞬态激活：

      1. 抛出一个 "NotAllowedError" DOMException。

   3. 消费相关全局对象的用户激活。

   4. 如果正在创建凭据的源与相关全局对象的顶层源不同 （即，与用户可在地址栏中看到的源不同）， 客户端应该向 用户明确说明这一事实。

3. 令 pkOptions 为 options.publicKey 的值。

4. 如果 pkOptions.timeout 存在，则检查其值是否位于由客户端定义的合理范围内；如果不在，则将其修正为该范围内 最接近的值。将计时器 lifetimeTimer 设置为此调整后的值。如果 pkOptions.timeout 不 存在，则将 lifetimeTimer 设置为客户端特定的默认值。

   有关决定合理范围和默认值的指导，请参阅WebAuthn 仪式超时的推荐范围 和默认值， 以确定 pkOptions.timeout 的合理范围和默认值。

   客户端应该考虑有特殊需要用户的超时相关 认知指南。

5. 如果 pkOptions.user.id 的长度不在 1 到 64 字节之间（含边界），则抛出一个 TypeError。

6. 令 callerOrigin 为 origin。 如果 callerOrigin 是不透明源，则抛出一个 "NotAllowedError" DOMException。

7. 令 effectiveDomain 为 callerOrigin 的有效域。 如果有效域不是有效域，则抛出一个 "SecurityError" DOMException。

   注：有效域可以解析为一个主机，其可以用各种方式表示， 例如域、IPv4 地址、 IPv6 地址、不透明主机或 空主机。 此处只允许主机的域格式。这既是为了简化，也是 考虑到将直接 IP 地址标识与基于 PKI 的安全机制结合使用存在的各种问题。

8. 如果 pkOptions.rp.id

   存在

   如果 pkOptions.rp.id 既不是 effectiveDomain 的可注册域后缀，也不等于 effectiveDomain，并且客户端

   支持相关源请求

   1. 令 rpIdRequested 为 pkOptions.rp.id 的值。

   2. 以 callerOrigin 和 rpIdRequested 为参数运行相关 源验证过程。 如果结果为 false，则抛出一个 "SecurityError" DOMException。

   不支持相关源请求

   抛出一个 "SecurityError" DOMException。

   不存在

   将 pkOptions.rp.id 设置为 effectiveDomain。

   注： pkOptions.rp.id 表示 调用者的RP ID。除非调用者在调用 create() 时显式设置了 pkOptions.rp.id， 否则RP ID默认为调用者源的 有效域。

9. 令 credTypesAndPubKeyAlgs 为一个新的列表，其项为 PublicKeyCredentialType 与 COSEAlgorithmIdentifier 的配对。

10. 如果 pkOptions.pubKeyCredParams 的 大小

    为零

    将以下 PublicKeyCredentialType 和 COSEAlgorithmIdentifier 值的配对追加到 credTypesAndPubKeyAlgs：

    • public-key 和 -7 ("ES256")。

    • public-key 和 -257 ("RS256")。

    非零

    对于 pkOptions.pubKeyCredParams 中的每个 current：

    1. 如果 current.type 不包含此实现支持的 PublicKeyCredentialType， 则继续。

    2. 令 alg 为 current.alg。

    3. 将 current.type 与 alg 的配对追加到 credTypesAndPubKeyAlgs。

    如果 credTypesAndPubKeyAlgs为空， 则抛出一个 "NotSupportedError" DOMException。

11. 令 clientExtensions 为一个新的映射，并令 authenticatorExtensions 为一个新的映射。

12. 如果 pkOptions.extensions 存在，则对于 pkOptions.extensions 中的每个 extensionId → clientExtensionInput：

    1. 如果此客户端平台不支持 extensionId，或者它不是注册扩展，则继续。

    2. 将 clientExtensions[extensionId]设置为 clientExtensionInput。

    3. 如果 extensionId 不是认证器 扩展，则继续。

    4. 令 authenticatorExtensionInput 为对 clientExtensionInput 运行 extensionId 的客户端扩展处理 算法所得的（CBOR）结果。如果算法返回错误，则继续。

    5. 将 authenticatorExtensions[extensionId]设置为 authenticatorExtensionInput 的base64url 编码。

13. 令 collectedClientData 为一个新的 CollectedClientData 实例，其字段如下：

    type

    字符串 "webauthn.create"。

    challenge

    pkOptions.challenge 的base64url 编码。

    origin

    callerOrigin 的序列化。

    crossOrigin

    传递给此内部方法的 sameOriginWithAncestors 参数值的反值。

    topOrigin

    如果传递给此内部方法的 sameOriginWithAncestors 参数为 false，则为 callerOrigin 的顶层源的序列化，否则为 undefined。

14. 令 clientDataJSON 为由 collectedClientData 构造的客户端数据的 JSON 兼容 序列化。

15. 令 clientDataHash 为由 clientDataJSON 表示的序列化客户端数据的 哈希。

16. 如果 options.signal 存在且已中止，则抛出 options.signal 的 中止原因。

17. 令 issuedRequests 为一个新的有序集合。

18. 令 authenticators 表示一个值，该值在任意给定时刻都是一个集合，由客户端平台特定的句柄组成，其中每个 项标识当时此客户端 平台上当前可用的一个认证器。

    注：什么条件可使认证器 被视为“可用”是有意未规定的；这里旨在表示认证器 可通过各种机制热插拔到 （例如通过 USB） 客户端中，或被其发现 （例如通过 NFC 或 Bluetooth），也可以永久内置于客户端中。

19. 如果 options.mediation 存在且值为 conditional：

    1. 如果用户代理最近没有协调过一次身份验证、该身份验证的源不是 callerOrigin，或者用户 不同意这种类型的凭据创建，则抛出一个 "NotAllowedError" DOMException。

       由用户代理自行决定何时认为身份验证仪式已经 完成。该身份验证仪式可以通过 Web 身份验证 API以外的其他方式执行。

20. 考虑 hints 的值，并按用户代理认为合适的方式相应构建用户界面。

21. 启动 lifetimeTimer。

22. 在 lifetimeTimer 尚未到期时，循环执行以下操作，具体取决于 lifetimeTimer， 以及 authenticators 中每个 authenticator 的状态和响应：

    如果 lifetimeTimer 到期，

    对于 issuedRequests 中的每个 authenticator，在 authenticator 上调用authenticatorCancel 操作， 并从 issuedRequests 中移除 authenticator。

    如果用户使用用户代理的用户界面选项取消该过程，

    对于 issuedRequests 中的每个 authenticator，在 authenticator 上调用authenticatorCancel 操作， 并从 issuedRequests 中移除 authenticator。抛出一个 "NotAllowedError" DOMException。

    如果 options.signal 存在且已中止，

    对于 issuedRequests 中的每个 authenticator，在 authenticator 上调用authenticatorCancel 操作，并从 issuedRequests 中移除 authenticator。然后抛出 options.signal 的 中止原因。

    如果某个 authenticator 在此客户端设备上变得可用，

    注：这包括 authenticator 在 lifetimeTimer 启动时已经可用的情况。

    1. 此 authenticator 现在是候选认证器。

    2. 如果 pkOptions.authenticatorSelection 存在：

       1. 如果 pkOptions.authenticatorSelection.authenticatorAttachment 存在， 且其值不等于 authenticator 的认证器 附着模式，则继续。

       2. 如果 pkOptions.authenticatorSelection.residentKey

          存在且设置为 required

          如果 authenticator 无法存储客户端 可发现公钥凭据源，则继续。

          存在且设置为 preferred 或 discouraged

          无影响。

          不存在

          如果 pkOptions.authenticatorSelection.requireResidentKey 设置为 true，且 authenticator 无法存储客户端 可发现公钥凭据源，则继续。

       3. 如果 pkOptions.authenticatorSelection.userVerification 设置为 required， 且 authenticator 无法执行用户验证，则继续。

    3. 令 requireResidentKey 为凭据创建的有效 驻留密钥要求，它是一个 Boolean 值，如下：

       如果 pkOptions.authenticatorSelection.residentKey

       存在且设置为 required

       令 requireResidentKey 为 true。

       存在且设置为 preferred

       如果 authenticator

       具备客户端 凭据存储模式能力

       令 requireResidentKey 为 true。

       不具备客户端 凭据存储模式能力，或者客户端无法确定认证器能力，

       令 requireResidentKey 为 false。

       存在且设置为 discouraged

       令 requireResidentKey 为 false。

       不存在

       令 requireResidentKey 为 pkOptions.authenticatorSelection.requireResidentKey 的值。

    4. 令 userVerification 为凭据创建的有效 用户验证要求，它是一个 Boolean 值，如下。如果 pkOptions.authenticatorSelection.userVerification

       设置为 required

       1. 如果 options.mediation 设置为 conditional 且在仪式期间无法收集用户验证， 则抛出一个 ConstraintError DOMException。

       2. 令 userVerification 为 true。

       设置为 preferred

       如果 authenticator

       能够执行用户 验证

       令 userVerification 为 true。

       无法执行用户 验证

       令 userVerification 为 false。

       设置为 discouraged

       令 userVerification 为 false。

    5. 令 enterpriseAttestationPossible 为一个 Boolean 值，如下。如果 pkOptions.attestation

       设置为 enterprise

       如果用户代理希望为 pkOptions.rp.id 支持企业证明（请参阅上面的步骤 8），则令 enterpriseAttestationPossible 为 true。 否则为 false。

       否则

       令 enterpriseAttestationPossible 为 false。

    6. 令 attestationFormats 为一个字符串列表，初始化为 pkOptions.attestationFormats 的值。

    7. 如果 pkOptions.attestation

       设置为 none

       将 attestationFormats 设置为仅包含字符串 “none” 的单元素列表

    8. 令 excludeCredentialDescriptorList 为一个新的列表。

    9. 对于 pkOptions.excludeCredentials 中的每个凭据描述符 C：

       1. 如果 C.transports 非空，且 authenticator 通过未在 C.transports 中提及的传输方式连接，则客户端可以继续。

          注：如果客户端 选择继续，并且 C.transports 中的传输提示不准确，则这可能导致无意中注册多个与同一个认证器绑定的凭据。 例如，由于软件升级增加新的连接选项，已存储的传输提示可能变得不准确。

       2. 否则，将 C追加到 excludeCredentialDescriptorList。

       3. 在 authenticator 上调用authenticatorMakeCredential 操作，并将 clientDataHash、 pkOptions.rp、 pkOptions.user、 requireResidentKey、 userVerification、 credTypesAndPubKeyAlgs、 excludeCredentialDescriptorList、 enterpriseAttestationPossible、 attestationFormats 和 authenticatorExtensions 作为参数。

    10. 将 authenticator追加到 issuedRequests。

    如果某个 authenticator 在此客户端 设备上变得不可用，

    从 issuedRequests 中移除 authenticator。

    如果任何 authenticator 返回表示用户取消操作的状态，

    1. 从 issuedRequests 中移除 authenticator。

    2. 对于 issuedRequests 中剩余的每个 authenticator， 在 authenticator 上调用authenticatorCancel 操作，并从 issuedRequests 中移除它。

       注：认证器可能返回“用户取消了整个操作”的指示。 用户代理如何向用户呈现此状态未作规定。

    如果任何 authenticator 返回等同于 "InvalidStateError" 的错误状态，

    1. 从 issuedRequests 中移除 authenticator。

    2. 对于 issuedRequests 中剩余的每个 authenticator， 在 authenticator 上调用authenticatorCancel 操作，并从 issuedRequests 中移除它。

    3. 抛出一个 "InvalidStateError" DOMException。

    注：此错误状态会单独处理， 因为只有当 excludeCredentialDescriptorList 标识了一个与 authenticator绑定的凭据，并且 用户已同意该操作时， authenticator 才会返回它。鉴于存在这种明确同意， 允许依赖方区分这种情况。

    如果任何 authenticator 返回不等同于 "InvalidStateError" 的错误状态，

    从 issuedRequests 中移除 authenticator。

    注：这种情况并不意味着用户对 该操作作出了同意， 因此会向依赖方隐藏错误详情，以防泄露潜在的身份识别信息。 详情请参阅§ 14.5.1 注册仪式隐私。

    如果任何 authenticator 指示成功，

    1. 从 issuedRequests 中移除 authenticator。此认证器现在是选定认证器。

    2. 令 credentialCreationData 为一个结构， 其项如下：

       attestationObjectResult

       其值是成功执行authenticatorMakeCredential 操作返回的字节。

       注：此值是 attObj，如§ 6.5.4 生成 证明对象中所定义。

       clientDataJSONResult

       其值为 clientDataJSON 的字节。

       attestationConveyancePreferenceOption

       其值为 pkOptions.attestation 的值。

       clientExtensionResults

       其值为一个 AuthenticationExtensionsClientOutputs 对象，包含扩展标识符 → 客户端扩展输出 条目。这些条目通过对 pkOptions.extensions 中的每个客户端扩展运行各扩展的 客户端扩展 处理算法，以创建客户端扩展输出。

    3. 令 constructCredentialAlg 为一个接受全局对象 global 的算法，其步骤如下：

       1. 如果 credentialCreationData.attestationConveyancePreferenceOption 的值为

          none

          将潜在可唯一识别身份的信息替换为 相同信息的不可识别身份版本：

          1. 如果经证明的 凭据数据中的aaguid 为 16 个零字节， credentialCreationData.attestationObjectResult.fmt 为 "packed"，且 credentialCreationData.attestationObjectResult 中不存在 "x5c"， 则正在使用自证明， 无需进一步操作。

          2. 否则：

             1. 将 credentialCreationData.attestationObjectResult.fmt 的值设置为 "none"，并将 credentialCreationData.attestationObjectResult.attStmt 的值设置为空CBOR 映射。（请参阅§ 8.7 无证明语句格式和§ 6.5.4 生成证明对象）。

          indirect

          客户端可以将aaguid 和证明 语句替换为相同数据的、更有利于隐私 和/或更容易验证的版本（例如，通过使用匿名化 CA）。

          direct 或 enterprise

          将认证器的AAGUID和证明 语句未经修改地传递给依赖 方。

       2. 令 attestationObject 为一个新的 ArrayBuffer， 使用 global 的%ArrayBuffer% 创建，其中包含 credentialCreationData.attestationObjectResult 值的字节。

       3. 令 id 为 attestationObject.authData.attestedCredentialData.credentialId。

       4. 令 pubKeyCred 为一个与 global 关联的新 PublicKeyCredential 对象，其字段如下：

          [[identifier]]

          id

          authenticatorAttachment

          与 authenticator 当前认证器 附着模式相匹配的 AuthenticatorAttachment 值。

          response

          一个与 global 关联的新 AuthenticatorAttestationResponse 对象，其字段如下：

          clientDataJSON

          一个新的 ArrayBuffer， 使用 global 的%ArrayBuffer% 创建，其中包含 credentialCreationData.clientDataJSONResult 的字节。

          attestationObject

          attestationObject

          [[transports]]

          一个包含零个或多个唯一 DOMString 的序列，按字典序排列，这些值被认为是 authenticator 所支持的传输方式。 这些值应该是 AuthenticatorTransport 的成员，但客户端平台 必须忽略未知值。

          如果用户代理不希望泄露此信息， 则可以替换为旨在保护隐私的任意序列。 此序列仍然必须有效， 即按字典序排序且没有重复项。 例如，可以使用空序列。无论哪种方式， 在这种情况下，用户代理都要承担依赖方 行为可能并非最优的风险。

          如果用户代理没有任何传输 信息，则应该将此字段设置为空 序列。

          注：用户代理如何发现 给定认证器支持的传输方式 不属于本规范的范围，但可能包括 来自证明 证书的信息（例如[FIDO-Transports-Ext]）、 在 CTAP2 等认证器 协议中传递的元数据，或者关于 平台 认证器的特殊情况知识。

          [[clientExtensionsResults]]

          一个新的 ArrayBuffer， 使用 global 的%ArrayBuffer% 创建，其中包含 credentialCreationData.clientExtensionResults 的字节。

       5. 返回 pubKeyCred。

    4. 对于 issuedRequests 中剩余的每个 authenticator， 在 authenticator 上调用authenticatorCancel 操作，并从 issuedRequests 中移除它。

    5. 返回 constructCredentialAlg 并终止此算法。

23. 抛出一个 "NotAllowedError" DOMException。

在上述过程中，用户代理应该向用户显示一些 UI，以引导他们完成 选择和 授权认证器的过程。当 options.mediation 设置为 conditional 时，除非此前已经通过用户代理确定的方式同意创建凭据，否则不应该显示显著的模态 UI。

此内部方法接受三个 参数：

origin

此参数是相关设置对象的源，由调用 get() 的实现（即 CredentialsContainer 的 请求 Credential 抽象操作）确定。

options

此参数是一个 CredentialRequestOptions 对象，其 options.publicKey 成员包含一个 PublicKeyCredentialRequestOptions 对象，用于指定要发现的公钥凭据的 所需属性。

sameOriginWithAncestors

此参数是一个 Boolean 值，当且仅当调用者的环境设置对象与 其祖先同源时为 true。如果调用者跨源，则为 false。

注：调用此内部方法表示 它已被 权限策略允许，该策略在[CREDENTIAL-MANAGEMENT-1]层级进行评估。 请参阅§ 5.9 权限策略集成。

注：此算法是 同步的：Promise 的兑现/拒绝由 navigator.credentials.get() 处理。

此算法中使用的所有 BufferSource 对象都必须在算法开始时创建快照，以 避免潜在的同步问题。实现应该获取缓冲区源所持字节的副本，并 在算法的相关部分中使用该副本。

调用此方法时，用户代理必须执行以下算法：

1. 断言： options.publicKey 存在。

2. 令 pkOptions 为 options.publicKey 的值。

3. 如果 options.mediation 存在且值为 conditional：

   1. 令 credentialIdFilter 为 pkOptions.allowCredentials 的值。

   2. 将 pkOptions.allowCredentials 设置为空。

      注：这可以防止不可发现凭据在 conditional 请求期间被使用。

   3. 将计时器 lifetimeTimer 设置为无穷大。

      注：lifetimeTimer 被设置为无穷大，以便用户可以在 Document 的整个生命周期内与任何 带有 "webauthn" 自动填充详细信息令牌的 input 表单控件交互。例如，当 用户点击此类输入字段时，用户代理可以呈现已发现 凭据的列表供用户选择，并且可能还向用户提供 “尝试其他方式”的选项。

4. 否则：

   1. 令 credentialIdFilter 为一个空 列表。

   2. 如果 pkOptions.timeout 存在，则检查其值是否位于 由客户端定义的合理范围内；如果不在，则将其修正为 该范围内最接近的值。 将计时器 lifetimeTimer 设置为该调整后的值。如果 pkOptions.timeout 不存在，则将 lifetimeTimer 设置为客户端特定的默认值。

      有关为 pkOptions.timeout 确定合理范围和默认值的指导，请参阅WebAuthn 仪式超时的推荐范围和默认值。

      用户代理应该考虑有特殊需要用户的超时相关认知指南。

5. 令 callerOrigin 为 origin。 如果 callerOrigin 是 不透明源，则抛出一个 "NotAllowedError" DOMException。

6. 令 effectiveDomain 为 callerOrigin 的有效域。 如果有效域不是有效域，则抛出一个 "SecurityError" DOMException。

   注：有效域可以解析为主机，它可以用各种方式表示， 例如域、IPv4 地址、IPv6 地址、不透明主机， 或空主机。 此处只允许主机的域格式。这既是为了简化，也是 考虑到将直接 IP 地址标识与 基于 PKI 的安全机制结合使用存在的各种问题。

7. 如果 pkOptions.rpId

   存在

   如果 pkOptions.rpId 既不是 effectiveDomain 的可注册域后缀，也不等于 effectiveDomain，并且客户端

   支持相关源请求

   1. 令 rpIdRequested 为 pkOptions.rpId 的值。

   2. 以 callerOrigin 和 rpIdRequested 为参数运行相关 源验证过程。 如果结果为 false，则抛出一个 "SecurityError" DOMException。

   不支持相关源请求

   抛出一个 "SecurityError" DOMException。

   不存在

   将 pkOptions.rpId 设置为 effectiveDomain。

   注：rpId 表示 调用者的RP ID。除非调用者在调用 get() 时显式设置了 pkOptions.rpId， 否则RP ID默认为 调用者源的有效域。

8. 令 clientExtensions 为一个新的映射，并令 authenticatorExtensions 为一个新的映射。

9. 如果 pkOptions.extensions 存在，则对于 pkOptions.extensions 中的每个 extensionId → clientExtensionInput：

   1. 如果此客户端平台不支持 extensionId，或者它不是身份验证扩展，则继续。

   2. 将 clientExtensions[extensionId]设置为 clientExtensionInput。

   3. 如果 extensionId 不是认证器 扩展，则继续。

   4. 令 authenticatorExtensionInput 为对 clientExtensionInput 运行 extensionId 的客户端扩展处理 算法所得的（CBOR）结果。如果算法返回错误，则继续。

   5. 将 authenticatorExtensions[extensionId]设置为 authenticatorExtensionInput 的base64url 编码。

10. 令 collectedClientData 为一个新的 CollectedClientData 实例，其字段如下：

    type

    字符串 "webauthn.get"。

    challenge

    pkOptions.challenge 的base64url 编码。

    origin

    callerOrigin 的序列化。

    crossOrigin

    传递给此内部方法的 sameOriginWithAncestors 参数值的反值。

    topOrigin

    如果传递给此内部方法的 sameOriginWithAncestors 参数为 false，则为 callerOrigin 的顶层源的序列化，否则为 undefined。

11. 令 clientDataJSON 为由 collectedClientData 构造的客户端数据的 JSON 兼容 序列化。

12. 令 clientDataHash 为由 clientDataJSON 表示的序列化 客户端数据的哈希。

13. 如果 options.signal 存在且已中止，则抛出 options.signal 的 中止原因。

14. 令 issuedRequests 为一个新的有序集合。

15. 令 savedCredentialIds 为一个新的映射。

16. 令 authenticators 表示一个值，该值在任意给定时刻都是一个集合，由客户端平台特定的句柄组成，其中每个 项标识当时此客户端 平台上当前可用的一个认证器。

    注：什么条件可使认证器 被视为“可用”是有意未规定的；这里旨在表示认证器 可通过各种机制热插拔到 （例如通过 USB） 客户端中，或被其发现 （例如通过 NFC 或 Bluetooth），也可以永久内置于客户端中。

17. 令 silentlyDiscoveredCredentials 为一个新的映射，其条目形式为：DiscoverableCredentialMetadata → 认证器。

18. 考虑 hints 的值，并按用户代理认为合适的方式相应构建用户界面。

19. 启动 lifetimeTimer。

20. 在 lifetimeTimer 尚未到期时，循环执行 以下操作，具体取决于 lifetimeTimer， 以及 authenticators 中每个 authenticator 的状态和响应：

    如果 lifetimeTimer 到期，

    对于 issuedRequests 中的每个 authenticator，在 authenticator 上调用authenticatorCancel 操作，并从 issuedRequests 中移除 authenticator。

    如果用户使用用户代理的用户界面选项取消该过程，

    对于 issuedRequests 中的每个 authenticator，在 authenticator 上调用authenticatorCancel 操作， 并从 issuedRequests 中移除 authenticator。抛出一个 "NotAllowedError" DOMException。

    如果 options.signal 存在且已中止，

    对于 issuedRequests 中的每个 authenticator，在 authenticator 上调用authenticatorCancel 操作， 并从 issuedRequests 中移除 authenticator。然后 抛出 options.signal 的 中止原因。

    如果 options.mediation 为 conditional 且用户与一个 input 或 textarea 表单控件交互，该控件具有 autocomplete 属性，且其 非自动填充凭据类型为 "webauthn"，

    注： "webauthn" 自动填充详细信息令牌必须紧接在最后一个 “Normal”或“Contact”类型的自动填充详细信息令牌 之后。例如：

    • "username webauthn"

    • "current-password webauthn"

    1. 如果 silentlyDiscoveredCredentials 不为空：

       1. 提示用户可以选择性地从 silentlyDiscoveredCredentials 中选择一个DiscoverableCredentialMetadata。 提示应该显示每个DiscoverableCredentialMetadata 的otherUI 中的值，例如 name 和 displayName。

          如果用户进行了选择，则令 credentialMetadata 为用户选择的DiscoverableCredentialMetadata。

       2. 如果用户选择了 credentialMetadata，

          1. 令 publicKeyOptions 为 pkOptions 的临时副本。

          2. 令 authenticator 为 silentlyDiscoveredCredentials[credentialMetadata] 的值。

          3. 将 publicKeyOptions.allowCredentials 设置为一个列表，其中包含单个 PublicKeyCredentialDescriptor 项；其 id 的值设置为 credentialMetadata 的id 的值，其 type 值设置为 credentialMetadata 的type。

          4. 使用 authenticator、savedCredentialIds、 publicKeyOptions、rpId、 clientDataHash 和 authenticatorExtensions 执行向 认证器发出凭据请求算法。

             如果返回 false，则继续。

          5. 将 authenticator追加到 issuedRequests。

    如果 options.mediation 不是 conditional， issuedRequests 为空， pkOptions.allowCredentials 非空， 且其中任何公钥 凭据都不会有 authenticator 变得可用，

    向用户指示未找到符合条件的凭据。当用户 确认该对话框时，抛出一个 "NotAllowedError" DOMException。

    注：客户端 平台确定不会有 authenticator 变得可用的一种方法，是检查 pkOptions.allowCredentials 中现有的 PublicKeyCredentialDescriptor 项的 transports 成员（如果有）。例如，如果所有 PublicKeyCredentialDescriptor 项都只列出 internal， 但所有平台 authenticator 都 已尝试，则不可能满足该请求。或者，所有 PublicKeyCredentialDescriptor 项可能都列出了 客户端平台不支持的 transports。

    如果某个 authenticator 在此客户端设备上变得可用，

    注：这包括 authenticator 在 lifetimeTimer 启动时已经可用的情况。

    1. 如果 options.mediation 为 conditional 且 authenticator 支持silentCredentialDiscovery 操作：

       1. 令 collectedDiscoveredCredentialMetadata 为在 authenticator 上以 rpId 为参数调用silentCredentialDiscovery 操作的结果。

       2. 对于 collectedDiscoveredCredentialMetadata 中的每个 credentialMetadata：

          1. 如果 credentialIdFilter为空，或者 credentialIdFilter 包含一个项，其 id 的值设置为 credentialMetadata 的id， 则将 silentlyDiscoveredCredentials[credentialMetadata]设置 为 authenticator。

             注：当用户通过 与特定 UI 上下文交互来选择凭据时， 将向此认证器发出请求 （详情请参阅此处）。

    2. 否则：

       1. 使用 authenticator、savedCredentialIds、 pkOptions、rpId、clientDataHash 和 authenticatorExtensions 执行向 认证器发出凭据请求算法。

          如果返回 false，则继续。

          注：当 options.mediation 为 conditional 且 authenticator 不支持silentCredentialDiscovery 操作时，会进入此分支，以允许在 conditional 用户中介请求期间使用此类认证器。

       2. 将 authenticator追加到 issuedRequests。

    如果某个 authenticator 在此客户端 设备上变得不可用，

    从 issuedRequests 中移除 authenticator。

    如果任何 authenticator 返回表示用户取消操作的状态，

    1. 从 issuedRequests 中移除 authenticator。

    2. 对于 issuedRequests 中剩余的每个 authenticator， 在 authenticator 上调用authenticatorCancel 操作， 并从 issuedRequests 中移除它。

       注：认证器可能返回“用户取消了整个操作”的指示。 用户代理如何向用户呈现此状态未作规定。

    如果任何 authenticator 返回错误状态，

    从 issuedRequests 中移除 authenticator。

    如果任何 authenticator 指示成功，

    1. 从 issuedRequests 中移除 authenticator。

    2. 令 assertionCreationData 为一个结构， 其项如下：

       credentialIdResult

       如果 savedCredentialIds[authenticator] 存在，则将credentialIdResult 的值设置为 savedCredentialIds[authenticator] 的字节。 否则，将 credentialIdResult 的值设置为成功执行 authenticatorGetAssertion 操作所返回的凭据 ID的字节，如§ 6.3.3 authenticatorGetAssertion 操作中所定义。

       clientDataJSONResult

       其值为 clientDataJSON 的字节。

       authenticatorDataResult

       其值为认证器返回的认证器数据的字节。

       signatureResult

       其值为认证器返回的签名值的字节。

       userHandleResult

       如果认证器返回了用户句柄，则将userHandleResult 的值设置为 所返回用户句柄的字节。否则，将 userHandleResult 的值设置为 null。

       clientExtensionResults

       其值为一个 AuthenticationExtensionsClientOutputs 对象，包含扩展标识符 → 客户端扩展输出 条目。这些条目通过对 pkOptions.extensions 中的每个客户端扩展运行各扩展的 客户端扩展 处理算法，以创建客户端扩展输出。

    3. 如果 credentialIdFilter非空，且 credentialIdFilter 不包含任何项，其 id 的值设置为credentialIdResult 的值，则继续。

    4. 如果 credentialIdFilter为空，且userHandleResult 为 null，则继续。

    5. 令 settings 为当前设置对象。令 global 为 settings 的全局对象。

    6. 令 pubKeyCred 为一个与 global 关联的新 PublicKeyCredential 对象，其字段如下：

       [[identifier]]

       一个新的 ArrayBuffer， 使用 global 的%ArrayBuffer% 创建，其中包含 assertionCreationData.credentialIdResult 的字节。

       authenticatorAttachment

       与 authenticator 当前认证器 附着模式相匹配的 AuthenticatorAttachment 值。

       response

       一个与 global 关联的新 AuthenticatorAssertionResponse 对象，其字段如下：

       clientDataJSON

       一个新的 ArrayBuffer， 使用 global 的%ArrayBuffer% 创建，其中包含 assertionCreationData.clientDataJSONResult 的字节。

       authenticatorData

       一个新的 ArrayBuffer， 使用 global 的%ArrayBuffer% 创建，其中包含 assertionCreationData.authenticatorDataResult 的字节。

       signature

       一个新的 ArrayBuffer， 使用 global 的%ArrayBuffer% 创建，其中包含 assertionCreationData.signatureResult 的字节。

       userHandle

       如果 assertionCreationData.userHandleResult 为 null，则将此 字段设置为 null。否则，将此字段设置为一个新的 ArrayBuffer， 使用 global 的 %ArrayBuffer% 创建，其中包含 assertionCreationData.userHandleResult 的字节。

       [[clientExtensionsResults]]

       一个新的 ArrayBuffer， 使用 global 的%ArrayBuffer% 创建，其中包含 assertionCreationData.clientExtensionResults 的字节。

    7. 对于 issuedRequests 中剩余的每个 authenticator， 在 authenticator 上调用authenticatorCancel 操作， 并从 issuedRequests 中移除它。

    8. 返回 pubKeyCred 并终止此算法。

21. 抛出一个 "NotAllowedError" DOMException。

[[Store]](credential, sameOriginWithAncestors) 方法不支持 Web 身份验证的 PublicKeyCredential 类型， 因此其对[[Store]](credential, sameOriginWithAncestors) 内部方法的实现始终抛出 错误。

注：此算法是同步的；Promise 的兑现/拒绝由 navigator.credentials.store() 处理。

此内部方法接受两个 参数：

credential

此参数是一个 PublicKeyCredential 对象。

sameOriginWithAncestors

此参数是一个 Boolean 值，当且仅当调用者的环境设置对象与 其祖先同源时为 true。

调用此方法时，用户代理必须执行以下算法：

1. 抛出一个 "NotSupportedError" DOMException。

WebAuthn 依赖方使用此方法确定其是否可以使用用户验证平台认证器创建新凭据。 调用后，客户端使用客户端 平台特定的过程来发现可用的用户验证平台认证器。 如果发现任何此类认证器，则 promise 以值 true 兑现。 否则，promise 以值 false 兑现。 根据结果，依赖方可以采取进一步操作，引导用户创建 凭据。

此方法没有参数，并返回一个 Boolean 值。

partial interface PublicKeyCredential {
    static Promise<boolean> isUserVerifyingPlatformAuthenticatorAvailable();
};

WebAuthn 依赖方使用此方法确定一组有限的客户端能力是否可用， 以便向用户提供特定的工作流和体验。例如，在仅有 hybrid 传输可用或 conditional 中介不可用的客户端上，RP 可以提供登录按钮 （而不是显示用户名字段）。

调用后，客户端使用客户端 平台特定的过程来发现这些能力是否可用。

此方法没有参数，并返回从能力键到 Boolean 值的记录。

partial interface PublicKeyCredential {
    static Promise<PublicKeyCredentialClientCapabilities> getClientCapabilities();
};

typedef record<DOMString, boolean> PublicKeyCredentialClientCapabilities;

PublicKeyCredentialClientCapabilities 中的键必须按字典序升序排列。 键集合应该包含 ClientCapability 的枚举值集合， 但客户端可以按其认为必要的方式省略键；请参阅§ 14.5.4 披露客户端能力。

当给定能力的值为 true 时，表示已知客户端当前支持该功能。 当给定能力的值为 false 时，表示已知客户端当前不支持该功能。 当某项能力没有作为键存在时，客户端功能的可用性未知。

键集合还应该为客户端实现的每个扩展包含一个键，该键通过在扩展标识符前加上字符串 extension: 构成。 每个已实现扩展的关联值应该为 true。如果客户端支持 getClientCapabilities()，但某个扩展没有映射到值 true，则依赖方可以 假定该客户端不会执行该扩展的客户端处理步骤，并且该扩展可能不会被转发给认证器。

请注意，即使某个扩展映射到 true，用于任何给定操作的认证器也可能不支持该扩展， 因此依赖方不得 据此假定该扩展的认证器处理步骤会被执行。

WebAuthn 依赖方使用此方法将 navigator.credentials.create() 的选项的JSON 类型 表示转换为 PublicKeyCredentialCreationOptions。

调用后，客户端必须将 options 参数转换为一个新的、 结构相同的 PublicKeyCredentialCreationOptions 对象，使用base64url 编码 解码 PublicKeyCredentialCreationOptionsJSON 中与 PublicKeyCredentialCreationOptions 中缓冲区源类型属性相对应的任何 DOMString 属性。 此转换还必须 应用于由客户端处理的任何客户端扩展输入。

AuthenticationExtensionsClientInputsJSON 可以包括在 IANA "WebAuthn Extension Identifiers" 注册表[IANA-WebAuthn-Registries]中注册但未在 § 9 WebAuthn 扩展中定义的扩展。

如果客户端在解析任何JSON 类型表示时遇到任何问题，则 必须抛出一个 "EncodingError" DOMException， 并附带对不兼容 值的描述，然后终止操作。

partial interface PublicKeyCredential {
    static PublicKeyCredentialCreationOptions parseCreationOptionsFromJSON(PublicKeyCredentialCreationOptionsJSON options);
};

dictionary PublicKeyCredentialCreationOptionsJSON {
    required PublicKeyCredentialRpEntity                    rp;
    required PublicKeyCredentialUserEntityJSON              user;
    required Base64URLString                                challenge;
    required sequence<PublicKeyCredentialParameters>        pubKeyCredParams;
    unsigned long                                           timeout;
    sequence<PublicKeyCredentialDescriptorJSON>             excludeCredentials = [];
    AuthenticatorSelectionCriteria                          authenticatorSelection;
    sequence<DOMString>                                     hints = [];
    DOMString                                               attestation = "none";
    sequence<DOMString>                                     attestationFormats = [];
    AuthenticationExtensionsClientInputsJSON                extensions;
};

dictionary PublicKeyCredentialUserEntityJSON {
    required Base64URLString        id;
    required DOMString              name;
    required DOMString              displayName;
};

dictionary PublicKeyCredentialDescriptorJSON {
    required DOMString              type;
    required Base64URLString        id;
    sequence<DOMString>             transports;
};

dictionary AuthenticationExtensionsClientInputsJSON {
};

WebAuthn 依赖方使用此方法将 navigator.credentials.get() 的选项的JSON 类型 表示转换为 PublicKeyCredentialRequestOptions。

调用后，客户端必须将 options 参数转换为一个新的、 结构相同的 PublicKeyCredentialRequestOptions 对象，使用base64url 编码 解码 PublicKeyCredentialRequestOptionsJSON 中与 PublicKeyCredentialRequestOptions 中缓冲区源类型属性相对应的任何 DOMString 属性。 此转换还必须 应用于由客户端处理的任何客户端扩展输入。

AuthenticationExtensionsClientInputsJSON 可以包括在 IANA "WebAuthn Extension Identifiers" 注册表[IANA-WebAuthn-Registries]中注册但未在 § 9 WebAuthn 扩展中定义的扩展。

如果客户端在解析任何JSON 类型表示时遇到任何问题，则 必须抛出一个 "EncodingError" DOMException， 并附带对不兼容 值的描述，然后终止操作。

partial interface PublicKeyCredential {
    static PublicKeyCredentialRequestOptions parseRequestOptionsFromJSON(PublicKeyCredentialRequestOptionsJSON options);
};

dictionary PublicKeyCredentialRequestOptionsJSON {
    required Base64URLString                                challenge;
    unsigned long                                           timeout;
    DOMString                                               rpId;
    sequence<PublicKeyCredentialDescriptorJSON>             allowCredentials = [];
    DOMString                                               userVerification = "preferred";
    sequence<DOMString>                                     hints = [];
    AuthenticationExtensionsClientInputsJSON                extensions;
};

clientDataJSON, 类型为 ArrayBuffer，只读

此属性包含客户端数据的JSON 兼容 序列化，客户端在调用 create() 或 get() 时会将其哈希传递给 认证器（即， 客户端数据本身 不会发送给认证器）。

clientDataJSON

此属性继承自 AuthenticatorResponse， 包含客户端为了生成此凭据而传递给认证器的客户端数据的 JSON 兼容 序列化（请参阅 § 6.5 证明）。必须保留 完全相同的 JSON 序列化，因为序列化 客户端数据的哈希是基于它计算的。

attestationObject, 类型为ArrayBuffer，只读

此属性包含一个证明对象，该对象对客户端是不透明的，并受到 密码学保护以防客户端 篡改。证明对象同时包含认证器数据和证明语句。 前者包含 AAGUID、唯一的凭据 ID以及凭据公 钥。证明语句的内容由认证器使用的证明语句格式决定。 它还包含依赖方服务器验证 证明语句所需的任何附加信息，以及用于解码和 验证认证器数据和 客户端数据的 JSON 兼容 序列化所需的信息。有关更多详细信息，请参阅§ 6.5 证明、§ 6.5.4 生成 证明对象 和图 6。

getTransports()

此操作返回 [[transports]] 的值。

getAuthenticatorData()

此操作返回 attestationObject 中包含的认证器数据。 请参阅§ 5.2.1.1 轻松访问凭据数据。

getPublicKey()

此操作返回新凭据的 DER SubjectPublicKeyInfo，如果不可用则返回 null。 请参阅§ 5.2.1.1 轻松访问凭据 数据。

getPublicKeyAlgorithm()

此操作返回新凭据的 COSEAlgorithmIdentifier。 请参阅§ 5.2.1.1 轻松访问凭据 数据。

[[transports]]

此内部槽包含一个 按字典序排列的、由零个或多个唯一 DOMString 组成的序列。这些值是认为认证器支持的 传输方式；如果该信息不可用，则为空序列。这些值应该是 AuthenticatorTransport 的成员，但依赖 方应该接受并存储未知值。

clientDataJSON

此属性继承自 AuthenticatorResponse， 包含客户端为了生成 此断言而传递给认证器的客户端数据的 JSON 兼容 序列化（请参阅 § 5.8.1 WebAuthn 签名中使用的客户端数据（字典 CollectedClientData））。必须保留 完全相同的 JSON 序列化，因为序列化 客户端数据的哈希是基于它计算的。

authenticatorData, 类型为ArrayBuffer，只读

此属性包含认证器返回的认证器数据。请参阅 § 6.1 认证器数据。

signature, 类型为 ArrayBuffer，只读

此属性包含从认证器返回的原始签名。请参阅§ 6.3.3 authenticatorGetAssertion 操作。

userHandle, 类型为 ArrayBuffer，只读，可为 null

此属性包含从认证器返回的用户句柄；如果 认证器未返回 用户句柄，则为 null。 请参阅§ 6.3.3 authenticatorGetAssertion 操作。如果 身份验证仪式中使用的 allowCredentials 选项为空， 则认证器必须始终返回用户句柄； 否则可以返回一个。

type, 类型为DOMString

此成员指定要创建的凭据类型。该值应该是 PublicKeyCredentialType 的成员，但客户端 平台必须忽略未知值，并忽略任何具有未知 type 的 PublicKeyCredentialParameters。

alg, 类型为COSEAlgorithmIdentifier

此成员指定新生成的 凭据将使用的密码学签名算法，因此也指定要生成的非对称密钥对类型，例如 RSA 或椭圆曲线。

注：我们使用 "alg" 作为后一个成员名称，而不是 完整拼写 "algorithm"，因为它将被序列化到 发送给认证器的消息中，而该消息可能通过低带宽链路发送。

rp, 类型为PublicKeyCredentialRpEntity

此成员包含负责该请求的依赖方的名称和标识符。

其值的 name 成员是必需的。有关进一步 详细信息，请参阅§ 5.4.1 公钥实体 描述（字典 PublicKeyCredentialEntity）。

其值的 id 成员指定凭据 应限定作用域到的RP ID。如果省略， 其值将为 CredentialsContainer 对象的相关设置对象的源的有效域。有关进一步详细信息，请参阅§ 5.4.2 凭据生成的依赖方参数（字典 PublicKeyCredentialRpEntity）。

user, 类型为PublicKeyCredentialUserEntity

此成员包含执行注册的用户帐户的名称和标识符。

其值的 name、 displayName 和 id 成员都是必需的。 id 可以在某些未来的身份验证仪式中作为 userHandle 返回，并用于覆盖同一认证器上具有相同 rp.id 和 user.id 的现有可发现凭据。 name 和 displayName 可以由认证器和客户端在未来的身份验证 仪式中使用， 以帮助用户选择凭据，但不会作为未来身份验证仪式的结果返回给依赖方。

有关进一步详细信息，请参阅§ 5.4.1 公钥实体 描述（字典 PublicKeyCredentialEntity）和§ 5.4.3 凭据生成的用户帐户参数（字典 PublicKeyCredentialUserEntity）。

challenge, 类型为 BufferSource

此成员指定一个挑战，认证器在为新创建的凭据生成证明对象时，会对该挑战以及其他数据进行签名。 请参阅§ 13.5.3 密码学挑战安全 注意事项。

pubKeyCredParams, 类型为 sequence<PublicKeyCredentialParameters>

此成员列出依赖方支持的密钥类型和签名算法， 按偏好程度从高到低排序。 允许重复，但实际上会被忽略。 客户端和认证器 会尽最大努力创建偏好程度尽可能高的类型的凭据。 如果列出的类型都无法创建，则 create() 操作失败。

希望支持广泛认证器的依赖方 应该至少包含以下 COSEAlgorithmIdentifier 值：

• -8 (EdDSA)

• -7 (ES256)

• -257 (RS256)

可以根据需要包含其他签名算法。

由[RFC9864] 引入的以下完全指定 COSEAlgorithmIdentifier 值 不推荐 用于 pubKeyCredParams：

• -9 (ESP256)；改用或同时使用 -7 (ES256)。

• -51 (ESP384)；改用或同时使用 -35 (ES384)。

• -52 (ESP512)；改用或同时使用 -36 (ES512)。

• -19 (Ed25519)；改用或同时使用 -8 (EdDSA)。

注：在 WebAuthn 中，由于§ 5.8.5 密码算法标识符（typedef COSEAlgorithmIdentifier）中规定的附加限制，值 -9 (ESP256)、-51 (ESP384)、-52 (ESP512) 和 -19 (Ed25519) 分别与 -7 (ES256)、-35 (ES384)、-36 (ES512) 和 -8 (EdDSA) 表示相同的含义。 但是，它们在实践中不可互换， 因为许多实现支持后者的标识符而不支持前者。 因此，为了向后兼容，在 pubKeyCredParams 中优先使用后者的标识符。

timeout, 类型为 unsigned long

此可选成员以毫秒为单位指定依赖方愿意等待 调用完成的时间。此值被 视为提示，并且可以由客户端覆盖。

excludeCredentials, 类型为 sequence<PublicKeyCredentialDescriptor>， 默认为 []

依赖方 应该使用此可选成员列出映射到此用户帐户的任何现有凭据 （由 user.id 标识）。 这可以确保新凭据不会创建于一个已经包含映射到此用户帐户的凭据的认证器上。 如果会出现这种情况，则要求客户端改为引导用户使用另一个认证器， 如果失败则返回错误。

authenticatorSelection, 类型为AuthenticatorSelectionCriteria

依赖方 可以使用此可选成员指定 认证器必须或应该满足的能力和设置，以参与 create() 操作。 请参阅§ 5.4.4 认证器选择条件 （字典 AuthenticatorSelectionCriteria）。

hints, 类型为 sequence<DOMString>，默认为 []

此可选成员包含来自 PublicKeyCredentialHint 的零个或多个元素，用于指导用户代理与用户交互。请注意，尽管这些元素取自该枚举， 其类型仍为 DOMString。请参阅§ 2.1.1 作为 DOMString 类型的枚举。

attestation, 类型为DOMString，默认为 "none"

依赖方 可以使用此可选成员指定有关证明 传送的偏好。 其值应该是 AttestationConveyancePreference 的成员。 客户端 平台必须忽略未知值，将未知值视为该成员不存在。

默认值为 none。

attestationFormats, 类型为 sequence<DOMString>，默认为 []

依赖方 可以使用此可选成员指定有关认证器所使用的证明语句格式的偏好。 值应该取自 IANA "WebAuthn Attestation Statement Format Identifiers" 注册表[IANA-WebAuthn-Registries]，该注册表由[RFC8809]建立。 值按偏好程度从高到低排序。 允许重复，但实际上会被忽略。 此参数仅供参考，认证器可以使用此参数中未列出的证明语句。

默认值为空列表，表示没有偏好。

extensions, 类型为 AuthenticationExtensionsClientInputs

依赖方 可以使用此可选成员提供客户端扩展输入， 请求客户端和认证器执行附加处理。 例如，依赖方可以请求客户端返回 有关所创建凭据的附加信息。

扩展框架定义于§ 9 WebAuthn 扩展中。 一些扩展定义于§ 10 定义的扩展中； 有关已注册WebAuthn 扩展的最新列表，请查阅由[RFC8809]建立的 IANA "WebAuthn Extension Identifiers" 注册表[IANA-WebAuthn-Registries]。

name, 类型为 DOMString

实体的一个对人类友好的名称。其作用 取决于 PublicKeyCredentialEntity 所表示的内容：

• [已弃用] 当由 PublicKeyCredentialRpEntity 继承时，它是对人类友好的依赖 方标识符，仅用于 显示。例如，"ACME Corporation"、"Wonderful Widgets, Inc." 或 "ОАО Примертех"。

  此成员已弃用，因为许多客户端不会显示它， 但为了向后兼容，它仍然是必需的字典成员。 依赖 方可以将其设置为等于RP ID，作为安全的默认值。

  • 依赖方应该按照 [RFC8266] 第 2.3 节的规定，对 PRECIS FreeformClass [RFC8264] 的 Nickname Profile 执行实施， 无论是在设置 name 的 值时，还是向用户显示该值时。

  • 客户端应该 按照 [RFC8266] 第 2.3 节的规定，对 PRECIS FreeformClass [RFC8264] 的 Nickname Profile 对 name 的 值执行实施，然后再向用户显示该值或 将该值作为authenticatorMakeCredential 操作的参数。

• 当由 PublicKeyCredentialUserEntity 继承时，它是 对人类友好的用户 帐户标识符。此 标识符是客户端向用户显示的主要值，以帮助用户 理解凭据与哪个用户帐户相关联。

  此标识符的合适值示例包括 "alexm"、"+14255551234"、 "alex.mueller@example.com"、"alex.mueller@example.com (prod-env)"， 或 "alex.mueller@example.com (ОАО Примертех)"。

  • 依赖方可以让用户选择此 值。依赖方应该按照 [RFC8265] 第 3.4.3 节的规定，对 PRECIS IdentifierClass [RFC8264] 的 UsernameCasePreserved Profile 执行实施， 无论是在设置 name 的 值时，还是向用户显示该值 时。

  • 客户端应该 按照 [RFC8265] 第 3.4.3 节的规定，对 PRECIS IdentifierClass [RFC8264] 的 UsernameCasePreserved Profile 对 name 的 值执行实施，然后再向用户显示该值或 将该值作为authenticatorMakeCredential 操作的参数。

当客户端、客户端 平台或认证器显示 name 的 值时，它们应该始终使用 UI 元素在所显示的 值周围提供清晰边界，并且不允许其溢出到其他元素中 [css-overflow-3]。

存储 name 成员的值时， 可以按照§ 6.4.1 字符串 截断中的描述截断该值， 使用大于或等于 64 字节的大小限制。

id, 类型为DOMString

依赖方实体的唯一标识符，用于设置RP ID。

id, 类型为BufferSource

用户帐户的用户句柄。 用户句柄是 最大长度为 64 字节的不透明字节序列， 并非用于向用户显示。

为确保安全运行，身份验证和授权 决策必须基于此 id 成员，而不是 displayName 或 name 成员。请参阅[RFC8266]第 6.1 节。

用户句柄不得 包含关于用户的个人身份信息，例如用户名或电子邮件 地址； 详情请参阅§ 14.6.1 用户句柄内容。用户句柄不得 为空。

用户句柄不应该 在不同用户帐户之间使用恒定值， 即使对于不可发现凭据也是如此，因为某些 认证器始终会创建可发现凭据。 因此，恒定的用户 句柄会使用户无法在依赖方处将此类认证器 用于多个用户 帐户。

displayName, 类型为 DOMString

用户帐户的一个人类友好的名称，仅用于 显示。依赖 方应该让用户选择此值，并且不应该对该选择施加超过必要程度的限制。 如果没有合适或人类友好的名称 可用，则依赖方应该将此值设置为空字符串。

此标识符的合适值示例包括 "Alex Müller"、"Alex Müller (ACME Co.)" 或 "田中倫"。

• 依赖 方在将 displayName 的值设置为非空字符串， 或向用户显示非空值时，应该按照 [RFC8266] 第 2.3 节中针对 PRECIS FreeformClass [RFC8264] 的 Nickname Profile 所规定的方式执行强制处理。

• 客户端应该按照 [RFC8266] 第 2.3 节的规定，对 PRECIS FreeformClass [RFC8264] 的 Nickname Profile， 对 displayName 的 值执行实施，然后再向用户显示非空值或 将非空值作为authenticatorMakeCredential 操作的参数。

当客户端、客户端 平台或认证器显示 displayName 的值时，它们应该始终使用 UI 元素为所显示的 值提供清晰的边界，并且不允许其溢出到其他元素[css-overflow-3]中。

存储 displayName 成员的值时， 可以按照§ 6.4.1 字符串 截断中的描述，使用大于或等于 64 字节的大小限制对该值进行截断。

authenticatorAttachment, 类型为DOMString

如果存在此成员，则符合条件的认证器将被筛选为仅包括 以指定认证器附着模式附着的认证器（另请参阅§ 6.2.1 认证器附着 模式）。 如果不存在此成员，则任何附着模式都可接受。 该值应该是 AuthenticatorAttachment 的成员，但客户端 平台必须忽略未知值， 将未知值视为该成员不 存在。

另请参阅 PublicKeyCredential 的 authenticatorAttachment 成员，它可以指示成功执行 create() 或 get() 操作时使用了哪种认证器附着模式。

residentKey, 类型为 DOMString

指定依赖方希望创建客户端可发现凭据的程度。 出于历史原因，其命名保留了已弃用的“resident”术语。该值 应该是 ResidentKeyRequirement 的成员，但客户端 平台必须忽略未知值，将未知值视为该成员不存在。如果未给出值，则当 requireResidentKey 为 true 时，有效 值为 required；当其为 false 或不存在时，则为 discouraged。

有关 residentKey 的值及其语义的说明，请参阅 ResidentKeyRequirement。

requireResidentKey, 类型为boolean，默认为 false

此成员为了与 WebAuthn 第 1 级向后兼容而保留，并且出于历史 原因，其命名针对可发现 凭据保留了已弃用的“resident”术语。依赖方当且仅当 residentKey 被设置为 required 时，才应该将其设置为 true。

userVerification, 类型为DOMString，默认为 "preferred"

此成员指定依赖方对 create() 操作的用户 验证要求。 该值应该是 UserVerificationRequirement 的成员，但客户端 平台必须忽略未知值，将未知值视为该成员不存在。

有关 userVerification 的值及其语义的说明，请参阅 UserVerificationRequirement。

platform

此值表示平台附着。

cross-platform

此值表示跨平台附着。

discouraged

依赖方 倾向于创建服务器端凭据，但也会接受 客户端可发现凭据。 客户端和认证器 应该尽可能创建服务器端凭据。

注：依赖方无法要求所创建的凭据一定是服务器端凭据，并且凭据属性 扩展可能不会为 rk 属性返回值。因此，依赖方可能不知道某个凭据是否为服务器端凭据，从而也不知道 创建具有相同用户句柄的第二个凭据是否会逐出第一个。

preferred

依赖方 强烈倾向于创建客户端可发现凭据， 但也会接受 服务器端凭据。 客户端和认证器 应该尽可能创建可发现凭据。 例如，如果创建可发现凭据需要设置用户验证，则客户端应该 引导用户完成设置。这优先于 userVerification 的设置。

required

依赖方 要求客户端可发现凭据。 如果无法创建客户端可发现凭据，则客户端必须返回错误。

none

依赖方 对认证器证明不感兴趣。例如，这是为了 可能避免必须获得用户同意才能将身份识别信息转发给依赖方， 或者避免到证明 CA或匿名化 CA的一次 往返。 如果认证器生成的证明语句 不是自证明， 则客户端会将其替换为 无证明语句。

这是默认值，未知值会回退到此值的行为。

indirect

依赖方 希望接收可验证的证明语句， 但允许客户端决定 如何获得此类证明语句。 客户端可以将认证器生成的证明语句 替换为由匿名化 CA生成的语句， 以保护用户隐私，或帮助依赖方在异构生态系统中进行证明 验证。

注：在这种情况下，无法保证依赖方 会获得可验证的证明语句。 例如，当认证器采用自证明 且客户端未经修改地传递 证明语句时。

direct

依赖方 希望接收由认证器生成的证明语句。

enterprise

依赖方 希望接收企业证明，它是一种证明语句， 其中可能包含可唯一标识认证器的信息。这适用于 企业内部的受控部署，在这种部署中，组织希望将注册 绑定到特定认证器。除非用户代理或认证器配置允许针对所请求的RP ID提供此类证明，否则用户代理不得提供此类证明。

如果允许，用户代理应该向认证器发出企业证明请求的信号（在调用时），并将生成的AAGUID和证明语句未经修改地传递给依赖方。