React+Node.js中如何验证Webauthn返回的注册认证数据？

你当前已经完成了WebAuthn注册的前端核心步骤，接下来需要在服务器端完成完整的验证流程，这就是指南中“验证流程成功”的具体含义。以下是详细的验证步骤和后续操作：

一、完成剩余的客户端数据（clientDataJSON）验证 #

除了匹配challenge，还需要检查：

• 确认clientDataJSON中的type字段值为webauthn.create，确保这是注册操作而非登录操作
• 验证origin字段完全匹配你的应用域名（例如https://your-app.com），防止跨域伪造请求
• 若存在tokenBinding字段，检查其status与请求时的token绑定状态一致（可选，用于增强安全性）

二、深度验证认证数据（authData） #

你已经解析出公钥，但还需验证authData的其他关键部分：

1. 验证rpIdHash：计算你应用的RP ID（如your-app.com）的SHA-256哈希值，与authData的前32字节对比，确保请求来自你的依赖方
2. 检查flags标志位：
   • 必须设置UP（用户在场）标志位，确认操作时有用户参与
   • 必须设置AT（包含公钥凭证）标志位，确认这是注册场景的认证数据
3. 验证credentialId合法性：确保其长度在16-1024字节范围内，符合WebAuthn规范
4. 校验公钥参数：你解析的COSE格式公钥（如1:2对应ES256算法，3:-7是算法标识），需确认算法是你注册请求中指定的合法算法，且公钥坐标（-2、-3字段）是有效的椭圆曲线点（针对EC类算法）

三、处理认证声明（attestationObject） #

由于你返回的fmt为none，attStmt是空对象，此时无需验证第三方认证机构的签名，只需确认attestationObject结构合法，且上述authData验证通过即可。

四、验证通过后的操作 #

当所有上述验证步骤全部通过，即为“验证流程成功”，此时需要将以下数据存储到数据库：

• credentialId：凭证ID（可从PublicKeyCredential.id或authData中解析）
• 公钥原始字节数据（建议直接存储，避免解析后的格式在后续认证时出错）
• 用户关联ID：将该凭证与具体用户绑定
• 可选辅助信息：RP ID、算法标识、凭证创建时间等

关于公钥签名验证的疑问 #

注册阶段不需要用这个公钥做签名验证——公钥的签名验证是在登录认证阶段：当用户登录调用navigator.credentials.get()时，服务器会用存储的公钥验证客户端返回的签名是否有效，以此确认用户身份。

注意事项 #

• 所有验证逻辑必须在服务器端执行，前端数据不可信任
• 手动处理字节流容易出错，建议使用成熟的WebAuthn服务端库来简化解析和验证流程

内容的提问来源于stack exchange，提问作者Ergin