iOS SwiftUI应用Passkey登录签名验证失败问题求助

可能的问题及修复步骤 #

1. ClientDataJSON 处理逻辑错误 #

你当前对rawClientDataJSON的解码再重新编码是多余的，会破坏原始数据的完整性。正确做法是直接对rawClientDataJSON进行Base64URL编码，不需要中间解析challenge的步骤：

// 替换原有clientDataJSON的处理逻辑
let base64URLEncodedClientDataJSON = passkeyAssertion.rawClientDataJSON.base64URLEncodedString()

确保你的Base64URL编码函数实现符合标准规则：

extension Data {
    func base64URLEncodedString() -> String {
        return self.base64EncodedString()
            .replacingOccurrences(of: "+", with: "-")
            .replacingOccurrences(of: "/", with: "_")
            .trimmingCharacters(in: CharacterSet(charactersIn: "="))
    }
}

2. 服务器端验证参数配置错误 #

iOS应用的Passkey验证要求expectedOrigin必须是应用的bundle ID URI格式，而非Web端域名，这是最容易忽略的核心配置：

// 服务器端verifyAuthenticationResponse的配置
const verificationOptions = {
  credential: assertionResponse,
  expectedChallenge: 存储的登录挑战值, // 和发起登录请求时的challenge完全一致
  expectedOrigin: "ios://com.yourcompany.yourapp", // 替换成你的应用bundle ID
  expectedRPID: "your-rp-domain.com", // 必须和注册时使用的RP ID一致
  authenticator: 从数据库取出的用户注册凭证,
};

const verificationResult = await verifyAuthenticationResponse(verificationOptions);

3. 签名/凭证数据传递不完整 #

检查以下字段的处理是否严格符合要求：

• signature: 直接对passkeyAssertion.signature!进行Base64URL编码，不要做任何字节序转换或字符串处理
• authenticatorData: 确保完整传递passkeyAssertion.rawAuthenticatorData!的所有字节，无截断或修改
• userHandle: 直接编码passkeyAssertion.userID!，确保和注册时存储的userHandle完全匹配

4. 算法匹配检查 #

确认注册时的公钥算法（如RS256）和服务器验证时使用的算法一致，@simplewebauthn会自动从注册凭证中读取算法，但如果有自定义配置，需确保未强制指定错误的算法。

内容的提问来源于stack exchange，提问作者Rodrigue2g