Chrome是否忽略WebAuthentication的userVerification设置？与Firefox表现差异原因

这不是Chrome的Bug，而是两款浏览器对WebAuthn规范中userVerification: discouraged参数结合可发现凭证场景的实现逻辑差异：

• WebAuthn规范的弹性定义：userVerification: discouraged的官方定义是"优先避免触发用户验证"，而非"绝对禁止"。浏览器和安全密钥设备有权根据实际场景（如凭证类型、安全策略）调整验证要求，规范给了实现方一定的灵活空间。

• Chrome的安全策略倾向：当使用可发现凭证（allowCredentials: []）时，Chrome认为这类凭证是存储在设备本地的"无绑定"凭证，存在被他人使用设备时自动完成认证的风险。因此即使设置了discouraged，Chrome仍会触发YubiKey的PIN验证，以此强化身份确认，符合Chrome端的安全优先级。

• Firefox的严格参数遵循：Firefox在处理userVerification: discouraged时，更严格遵循"尽量不干扰用户"的要求。对于可发现凭证场景，只要设备本身没有强制验证的规则，Firefox就不会主动发起PIN请求，完全尊重开发者设置的参数意图。

你可以做个验证测试：将allowCredentials设为具体的凭证ID（非可发现凭证场景），此时Chrome也会停止要求PIN，进一步说明这是场景化的安全策略，而非浏览器Bug。

内容的提问来源于stack exchange，提问作者caristu