能否基于Azure AD，结合OpenID Connect与WebAuthn实现网站用户认证？

这个方案是完全成立的，WebAuthn本身就是为了实现无密码/替代传统认证的场景，你描述的流程属于**"先通过可信身份提供商完成首次认证，再绑定WebAuthn凭证实现后续免密登录"**的典型场景，具体落地流程如下：

首次登录流程 #

• 用户访问网站，系统检测到该用户未存储WebAuthn公私钥，引导用户走Azure AD的OpenID Connect认证流程，完成身份校验。
• 认证成功后，网站后端从Azure AD的ID Token中获取可信的用户唯一标识（比如sub字段）。
• 后端发起WebAuthn注册请求，前端调用WebAuthn API让用户生成FIDO公私钥对：私钥安全存储在用户设备（Windows Hello、Touch ID等），公钥则由前端传回后端，和用户ID绑定存储。

后续登录流程 #

• 用户再次访问网站，系统查询到该用户已绑定WebAuthn公钥，直接发起WebAuthn认证请求。
• 用户通过设备的FIDO密钥（比如指纹、Windows Hello验证）完成身份校验，前端将验证结果传回后端，后端用存储的公钥验证签名，确认用户身份后完成登录，全程无需再跳转Azure AD。

关键注意事项 #

• 必须在自己的后端维护用户ID ↔ WebAuthn公钥的关联关系，这是脱离Azure AD直接认证的核心——WebAuthn只负责验证凭证有效性，你得自行把凭证和用户身份绑定起来。
• 要处理 fallback 场景：比如用户更换设备、丢失原有密钥，系统要检测到WebAuthn认证失败，自动引导用户回到Azure AD OIDC流程，重新完成身份认证后注册新的WebAuthn密钥。
• 区分"网站自建WebAuthn系统"和"Azure AD内置的FIDO2认证"：你要实现的是前者，用户的WebAuthn凭证存在你的后端而非Azure AD，这样才能不依赖Azure AD完成后续登录。

内容的提问来源于stack exchange，提问作者MrSharpFox