WebAuthn allowCredentials使用疑问：Chrome仅展示单个凭证不符规范？

你的理解没有错，但Chrome的WebAuthn实现确实存在特性差异，和W3C规范的"偏好排序"描述有实际表现上的不同，具体细节如下：

• W3C规范的弹性要求：规范中提到allowCredentials列表按偏好降序排列、首项最优先，但这里用的是"SHOULD"（应该）而非"MUST"（必须），意味着浏览器有自主实现的空间，并非强制严格遵循顺序或展示全部凭证。规范的核心是给浏览器提供偏好提示，而非约束其交互逻辑。

• Chrome的简化交互设计：在Chrome的实现中，当后端指定allowCredentials列表时，浏览器会自动筛选出一个它认为最适合的凭证（通常是最近使用过的、或与当前设备匹配度最高的，比如平台密钥优先于跨设备密钥），仅向用户展示这一个选项，目的是减少用户的选择成本，简化认证流程。只有当该凭证不可用（比如被删除、对应的安全密钥未连接）时，才会自动尝试列表中的下一个凭证，且依然只展示单个。

• 不设置allowCredentials的行为逻辑：当移除allowCredentials列表时，浏览器会进入"可发现凭证"的选择流程，此时会列出当前域下属于指定用户（通过userHandle识别）的所有有效凭证，这也是符合规范的场景——因为没有指定偏好，浏览器需要让用户自行选择可用凭证。

如果你的业务需求是让用户看到所有绑定的凭证并自主选择，可以考虑不设置allowCredentials列表，同时确保认证请求中正确携带userHandle参数，这样Chrome会自动过滤并展示该用户的全部有效凭证。

内容的提问来源于stack exchange，提问作者Will777