WebAuthN是否支持单设备多用户独立生物识别身份认证？

核心结论 #

完全可以在单台共享设备上，让多个独立用户通过WebAuthN实现指纹（或其他生物识别方式）的身份认证，无需依赖设备系统层面已注册的用户及对应生物信息。

关键逻辑 #

WebAuthN的生物识别验证与设备系统账户是相互独立的：

• 当员工在Web应用中注册WebAuthN凭证时，设备的安全模块（如TPM、Secure Enclave）会生成仅关联该员工与当前应用的加密私钥，生物识别只是本地解锁该私钥的验证手段，并不绑定到设备系统账户。
• 即使设备共用同一个标准系统账户，不同员工的WebAuthN凭证会被安全模块隔离存储，彼此无法访问或混淆。

实际操作流程 #

• 注册阶段：每个员工首次访问Web应用时，完成WebAuthN注册流程，设备弹出生物识别验证界面（如指纹录入），验证通过后生成专属凭证并与员工的应用账户绑定。
• 登录阶段：员工后续登录时，应用发起WebAuthN认证请求，设备再次弹出生物识别验证，员工完成验证后，设备调用其专属私钥完成签名，应用验证签名无误后确认身份。

注意事项 #

• 需确保设备支持WebAuthN（主流浏览器及现代设备均已支持），且开启生物识别功能——无需在设备系统账户中预先录入员工指纹，仅需在WebAuthN注册/认证环节临时验证即可。
• 应用侧需做好凭证管理，确保每个员工的WebAuthN凭证与自身应用账户准确关联。

内容的提问来源于stack exchange，提问作者Samuel Neff