Rails 7集成WebAuthn时如何跳过Windows Hello验证弹窗？

问题根源 #

你在Windows Chrome里遇到的弹窗顺序问题，核心是WebAuthn认证请求的参数不够精准，导致浏览器优先唤起系统级认证器（Windows Hello/安全密钥），而不是Chrome自带的跨设备认证器（比如同步的安卓设备凭证）。你提到的两个demo的差异，就在于认证请求的参数细节设置。

具体调整步骤 #

1. 给认证请求补上authenticator_selection配置 #

服务器端生成认证选项时，要和注册阶段保持一致的resident_key设置，明确限定只匹配可发现凭证，引导浏览器跳过系统级认证器：

get_options = WebAuthn::Credential.options_for_get(
  allow:             @authenticatable.webauthn_credentials.pluck(:external_id),
  user_verification: 'discouraged',
  # 新增这部分配置，和注册阶段对齐
  authenticator_selection: {
    resident_key:      'required',
    user_verification: 'discouraged'
  }
)

2. 为允许的凭证添加transports信息 #

注册凭证时要保存transports字段，认证时把这个信息传给浏览器，帮助它精准筛选可用的认证器（比如蓝牙、混合模式，对应安卓设备的同步凭证）：

第一步：修改注册后的保存逻辑

假设你用WebauthnCredential模型存储凭证，注册成功后要把transports存下来：

# 解析前端传来的注册凭证
credential = WebAuthn::Credential.from_create(params[:credential])
# 保存凭证时新增transports字段
@authenticatable.webauthn_credentials.create!(
  external_id: credential.id,
  public_key: credential.public_key,
  transports: credential.transports # 保存凭证支持的传输方式
)

第二步：修改认证选项的allow参数

把带transports的凭证列表传给认证选项：

# 构造带transports的allow凭证数组
allow_credentials = @authenticatable.webauthn_credentials.map do |cred|
  {
    type: 'public-key',
    id: cred.external_id,
    transports: cred.transports # 传入已保存的传输方式
  }
end

get_options = WebAuthn::Credential.options_for_get(
  allow: allow_credentials,
  user_verification: 'discouraged',
  authenticator_selection: {
    resident_key:      'required',
    user_verification: 'discouraged'
  }
)

3. 检查RP ID配置 #

确认你的WebAuthn RP ID是正确的顶级域名（比如example.com，而非app.example.com），Chrome的跨设备认证对RP ID的匹配要求严格，错误的RP ID会导致浏览器识别不到同步的安卓设备凭证。

为什么注册阶段没问题？ #

你注册时设置resident_key: 'required'，强制创建可发现凭证，浏览器会直接跳过系统级的非resident认证器；但认证阶段如果没同步这个配置，浏览器会默认遍历所有可用认证器，所以先弹出了Windows Hello的提示。

验证效果 #

调整后，Chrome会优先匹配符合条件的可发现凭证，直接唤起Chrome的设备选择弹窗，里面会包含同步的安卓设备，不需要先处理Windows Hello的弹窗。

内容的提问来源于stack exchange，提问作者BoersOverflow