WebAuthn验证中客户端返回Challenge不匹配时应返回何种HTTP状态码？

当客户端返回的challenge与服务器预生成的不匹配时，应该返回400 Bad Request。

原因： #

• 这种情况属于请求数据验证失败：challenge是服务器提前生成并传递给客户端的，客户端返回的不匹配说明请求本身的有效性存在问题，并非用户身份认证未通过（后者对应401 Unauthorized）。
• 400状态码的核心语义就是“请求无效、不符合服务器的处理要求”，完全匹配这类场景，能明确告知客户端：提交的请求参数存在错误，需要修正后重试。

在返回响应时，建议在响应体中补充明确的错误描述（例如{"error": "提交的challenge与服务器生成的不匹配"}），帮助客户端快速定位问题。

内容的提问来源于stack exchange，提问作者Justin Chan