WebAuthn无密码无用户认证：如何自动选择唯一存储凭证？

针对你遇到的Chrome环境下即使认证器仅存一个驻留凭证仍弹出选择框的问题，可尝试以下解决方法：

• 验证凭证存储与测试环境
  Chrome的虚拟认证器在测试场景中可能存在强制显示选择框的逻辑，建议先通过chrome://settings/securityKeys确认认证器内仅存在当前站点的唯一驻留凭证。同时优先使用真实的USB/NFC漫游认证器测试，真实设备的行为更贴合WebAuthn规范，通常会自动选择唯一匹配的凭证。

• 调整认证请求（Assertion）配置
  在认证阶段（而非注册阶段）确保以下配置：

  • 保持allowCredentials为空数组，让认证器自行筛选匹配的驻留凭证
  • 若需要用户验证，维持userVerification: "preferred"或按需设为"required"
  • 启用Chrome实验性功能：打开chrome://flags/#webauthn-resident-key-auto-select，将该选项设为Enabled，重启浏览器后即可自动选择唯一驻留凭证，跳过选择提示。

• 确认RP ID与凭证绑定正确性
  注册和认证时的rp.id必须完全一致（例如注册用yourdomain.com，认证不能用sub.yourdomain.com，除非配置了合法的域名范围）。RP ID不匹配会导致认证器无法自动匹配凭证，进而触发选择提示。

• 适配浏览器行为差异
  不同浏览器的自动选择逻辑不同：Firefox默认在仅存一个匹配驻留凭证时跳过选择框，而Chrome需满足上述实验flag或使用真实认证器的条件。建议将Chrome更新至最新稳定版，新版本可能优化了驻留凭证的自动选择逻辑。

内容的提问来源于stack exchange，提问作者caristu