WebAuthn challenge需在服务器存储吗？若需要应存于何处？

你的判断完全正确 #

WebAuthn要求服务器必须校验客户端返回的challenge和之前下发的完全一致——这是抵御重放攻击的核心机制。所以服务器必须临时存储每个注册（或认证）请求对应的challenge，否则无法完成合法性校验。

推荐的存储位置 #

• 内存缓存（如Redis）：最优选择。challenge属于短期有效数据，可设置5-15分钟的过期时间，缓存读写效率高，还能自动清理过期数据，不用手动维护。
• 数据库临时存储：如果没有缓存服务，可以在数据库里建临时表（或给用户表加临时字段），记录challenge、关联用户ID、创建时间和过期时间，定期清理过期数据避免冗余。
• 服务器端会话（Session）：如果是基于会话的应用，也存在用户的服务器端Session里，但要注意Session的过期时间要和WebAuthn流程的超时窗口匹配，分布式环境下得保证Session能跨节点共享。

内容的提问来源于stack exchange，提问作者Justin Chan