在Django中用Webauthn实现共享设备多用户身份验证可行吗？

你的方案是可行的，但需要通过严格的用户-凭证绑定逻辑来避免人员冒用他人账号通过Webauthn验证，具体细节如下：

核心逻辑说明 #

Webauthn的凭证是与**用户账号+验证器（设备安全模块）**绑定的，当设备预先录入了多位安保人员的指纹时，设备的生物识别模块会将每个指纹映射为独立的验证凭证。只要后台正确关联用户账号与对应的凭证，就能实现“只有账号所有者的指纹才能通过该账号的Webauthn验证”。

关键配置要点 #

• 注册阶段：一对一绑定用户与凭证
  注册Webauthn凭证时，必须先要求安保人员用自己的Django账号密码登录，再触发Webauthn注册流程。将生成的凭证信息（包括凭证ID、公钥等）与当前登录的用户账号关联，存储到Django数据库中。确保每个用户的凭证独立存储，互不交叉。
• 验证阶段：指定用户专属凭证验证
  当用户完成账号密码登录后，发起Webauthn验证请求时，必须从数据库中取出该用户名下已注册的凭证ID，作为验证请求的参数。这样设备的验证器只会尝试匹配该用户的凭证，即使其他人员的指纹在设备上已录入，也无法匹配当前账号的凭证，自然无法通过验证。

额外注意事项 #

• 确认设备的Webauthn实现支持多用户凭证：部分设备的安全模块会为每个指纹生成独立的凭证，这是方案生效的前提，你可以通过测试不同指纹注册不同账号的凭证来验证。
• 维护凭证的生命周期：如果安保人员离职或更换设备，及时从数据库中删除对应的凭证，避免无效凭证干扰验证流程。
• 增加验证失败防护：连续多次Webauthn验证失败后，暂时锁定该账号的验证权限，防止恶意尝试。

内容的提问来源于stack exchange，提问作者Sylvain Mounk