注册多个不可发现凭证时WebAuthn认证失败问题求助

问题场景 #

两台设备注册同一用户的WebAuthn凭证后，其中一台设备认证时无法登录，报错：

Caused by: java.lang.IllegalArgumentException: Unknown credential: ByteArray(*****)
at com.yubico.internal.util.ExceptionUtil.assure(ExceptionUtil.java:42)
at com.yubico.webauthn.FinishAssertionSteps$Step2.validate(FinishAssertionSteps.java:214)
at com.yubico.webauthn.FinishAssertionSteps$Step.next(FinishAssertionSteps.java:105)

两台设备在认证过程中都不会发送userHandle，注册时为每个设备添加了不同的userHandle到credentialRepository中。

问题原因 #

认证流程中，当userHandle为空时，会调用credentialRepository.getUserHandleForUsername获取一个用户标识。如果该方法返回的userHandle与当前登录设备的credentialId不匹配，后续凭证查找会返回空，触发上述错误。

解决方案 #

1. 规范userHandle的使用（推荐） #

WebAuthn规范中，userHandle是用户的唯一标识，同一用户的所有WebAuthn凭证必须关联同一个userHandle，而非每个设备单独分配。调整注册逻辑，确保同一用户的所有凭证共享同一个userHandle，从根源避免该问题。

2. 升级java-webauthn-server版本 #

你提到的提交正是针对该场景的修复：它优化了认证流程中的凭证查找逻辑，不再依赖单一的userHandle，允许通过credentialId直接匹配对应的用户凭证。建议升级到包含该修复的版本（1.13.0及以上），即可解决问题。

3. 调整getUserHandleForUsername实现（不推荐） #

如果无法修改注册逻辑，可调整该方法的实现：当用户存在多个关联的userHandle时，结合传入的credentialId去匹配对应的userHandle，而非随机返回一个。但这种方式不符合WebAuthn的设计初衷，会增加系统复杂度，不建议采用。

内容的提问来源于stack exchange，提问作者Jonny Marotte