使用WebAuthN的Credential ID作为公开标识符是否安全？

Credential ID本身是公开的标识符，但它的获取逻辑严格遵循WebAuthn的安全模型：

• 本地系统工具（比如你提到的certutil）在拥有足够系统权限（如管理员权限）的前提下，可以直接访问设备存储的WebAuthn凭证数据，从而列出Credential ID——这类操作属于操作系统级别的访问，不受WebAuthn API的权限限制，但普通用户无权限随意调用这类工具。

• 在WebAuthn API的上下文里，获取Credential ID必须经过用户授权：

  • 调用navigator.credentials.get()时，必须触发用户验证（指纹、PIN码等），只有用户通过验证后，才能返回包含Credential ID的凭证对象。
  • 调用navigator.credentials.create()创建凭证时，会返回Credential ID，但该操作本身需要用户在场并完成验证流程。

需要额外注意：即使本地工具能列出Credential ID，它也只是用于匹配用户凭证的标识，无法单独完成认证——因为认证所需的私钥被硬件隔离（如安全芯片、TPM），普通工具无法提取或调用。

总结：系统级工具在具备对应权限时可列出Credential ID，但Web端必须经过用户明确授权才能获取；无论哪种场景，Credential ID本身不包含敏感信息，仅作为凭证匹配的标识使用。

内容的提问来源于stack exchange，提问作者Juan Carlos