如何从平台认证器移除Webauthn凭证及密钥管理相关问题

1. 如何注销认证器中的私钥？ #

WebAuthn本身没有标准化的跨设备/跨平台删除机制，不同类型的认证器操作方式不同：

• 平台认证器（如Windows Hello、Touch ID）：需在系统自带的密码或账户管理入口操作，比如Windows可在「设置-账户-登录选项-管理凭据」中找到对应域名的凭证删除；macOS则在「系统设置-密码-网站与应用密码」里处理。
• 漫游认证器（如YubiKey）：通常需要使用厂商提供的工具（如YubiKey Manager）找到对应依赖方（RP）的条目删除，部分浏览器（如Chrome）也支持在「设置-隐私和安全-安全-管理设备密钥」中直接操作。

2. 悬空私钥会自动注销吗？ #

不会。WebAuthn认证器没有内置的自动过期或删除未使用凭证的标准逻辑，主流认证器都不会擅自删除用户的私有密钥数据。这些未被服务器认可的悬空私钥会一直留在认证器中，直到用户手动清理。

3. 同一RP在同一设备上注册新凭证会怎样？ #

认证器会为该依赖方生成全新的独立密钥对，和旧的悬空私钥共存。服务器端可选择仅保留最新凭证，或同时维护多个凭证（适配多设备登录场景）。用户登录时，认证器会列出该RP下的所有可用凭证，供用户选择或自动匹配服务器端已注册的有效凭证。

4. 悬空私钥堆积到什么时候会耗尽存储？ #

取决于认证器的存储容量：

• 平台认证器：依托设备本地存储（如手机闪存、电脑硬盘），容量充足，基本不会出现耗尽问题。
• 漫游认证器：存储容量有限，比如YubiKey 5系列一般支持存储几十到上百个WebAuthn凭证（具体数量看型号，如YubiKey 5 NFC最多支持25个）。当存储满后，新的注册请求会失败，需手动删除无用凭证才能继续。

5. Passkeys的相关机制是怎样的？ #

Passkeys是基于WebAuthn的升级方案，核心解决了悬空私钥和跨设备同步痛点：

• 云同步：Passkeys会通过生态云服务（如iCloud Keychain、Google Password Manager）同步到同一账号下的所有设备，无需在每个设备单独注册。
• 联动注销：当服务器端注销Passkey时，会同步通知对应云服务，云服务会标记该Passkey为无效，部分生态会自动清理这类无效条目，减少悬空私钥堆积。
• 无缝体验：Passkeys完全兼容WebAuthn协议，同时提供自动填充、跨设备登录等更流畅的用户操作，无需手动选择凭证。

内容的提问来源于stack exchange，提问作者Manoj Amalraj