WebAuthn技术疑问：不同认证器是否可存储相同Credential ID？

结论：不同认证器存储相同Credential ID的可能性可以认为不存在

原因如下：

• Credential ID由认证器在注册阶段生成，WebAuthn规范明确要求其具备全局唯一性。认证器通常会结合自身硬件唯一标识、高熵随机数、用户关联信息等多种要素生成ID，从设计层面杜绝了大面积重复的可能。
• 实际场景中，不同设备的认证器硬件环境、生成算法的初始参数完全独立，生成相同ID的概率极低，等同于两次随机生成UUID重复的概率，几乎不可能发生。
• 退一步说，即便极端情况下出现ID重复，依赖方（网站）也会结合凭证对应的公钥、认证器元数据等其他字段来区分不同凭证，不会仅依赖Credential ID识别，因此不会影响正常认证流程。

针对你提到的场景：电脑和手机分别注册的凭证，完全不可能出现相同的Credential ID——两个设备的认证器是独立的安全实体，ID生成过程相互隔离，没有任何关联。

内容的提问来源于stack exchange，提问作者Justin Chan