Java/Vaadin中WebAuthn凭证获取及privacyIDEA交互问题排查

1. 异步函数未正确返回Promise #

WebAuthn的navigator.credentials.create()是异步操作，若你的JS函数未返回Promise，Vaadin的executeJs会立即拿到undefined，导致Java端收不到有效数据。

修复代码：确保JS函数返回Promise，并在Promise内完成凭证序列化：

function registerWebAuthn(options) {
  // 传入的options需符合WebAuthn注册参数格式
  return navigator.credentials.create({publicKey: options})
    .then(credential => {
      // 将二进制数据转为base64字符串，确保可序列化传输
      return {
        id: credential.id,
        rawId: btoa(String.fromCharCode(...new Uint8Array(credential.rawId))),
        type: credential.type,
        response: {
          clientDataJSON: btoa(String.fromCharCode(...new Uint8Array(credential.response.clientDataJSON))),
          attestationObject: btoa(String.fromCharCode(...new Uint8Array(credential.response.attestationObject))),
          transports: credential.response.getTransports ? credential.response.getTransports() : []
        }
      };
    })
    .catch(error => {
      console.error("WebAuthn注册失败:", error);
      throw error; // 抛出错误让Java端捕获处理
    });
}

2. Java端未正确处理异步返回值 #

Vaadin的executeJs返回PendingJavaScriptResult，需通过异步回调或await获取结果，不能同步直接取值。

修复代码：在Java中用异步回调处理返回的序列化凭证：

// 从privacyIDEA获取WebAuthn注册配置参数
String webAuthnOptionsJson = fetchRegistrationOptionsFromPrivacyIDEA();

// 调用JS函数并处理结果
getUI().ifPresent(ui -> ui.executeJs("return registerWebAuthn($0)", webAuthnOptionsJson)
    .then(String.class, credentialJson -> {
      // 解析JSON为Java对象，再传给privacyIDEA完成注册
      ObjectMapper mapper = new ObjectMapper();
      WebAuthnCredential credential = mapper.readValue(credentialJson, WebAuthnCredential.class);
      submitCredentialToPrivacyIDEA(credential);
    })
    .catchError(error -> {
      Notification.show("WebAuthn注册失败: " + error.getMessage());
    })
);

// 辅助类：用于映射序列化后的凭证数据
static class WebAuthnCredential {
    public String id;
    public String rawId;
    public String type;
    public Response response;

    static class Response {
        public String clientDataJSON;
        public String attestationObject;
        public List<String> transports;
    }
}

3. 二进制数据未正确序列化 #

PublicKeyCredential包含的二进制字段（如rawId、clientDataJSON）无法直接序列化传输，必须转为base64字符串，否则会在跨语言传输时丢失数据，导致Java端收到空值。

关键注意事项：

• 用btoa配合Uint8Array转码，确保二进制数据转为可传输的字符串格式
• 必须包含response中的所有核心字段，否则privacyIDEA无法完成凭证校验

4. 额外排查点 #

• 检查浏览器控制台是否有WebAuthn权限或CORS错误：确保rp.id与当前域名一致（不能带协议/端口），privacyIDEA服务器已配置正确的CORS规则
• 确认privacyIDEA返回的注册参数格式正确，无字段缺失或格式错误

内容的提问来源于stack exchange，提问作者user2379123