能否识别Chromium WebAuthn模拟器生成的凭证与真实WebAuthn凭证？

可以通过以下几种方式来判断：

• 检查AAGUID标识
  Chromium WebAuthn模拟器生成的凭证，其attestationObject中的AAGUID（认证器断言全局唯一标识符）通常是全零值：00000000-0000-0000-0000-000000000000。而真实硬件认证器（如YubiKey、Windows Hello）会拥有厂商分配的唯一AAGUID，可通过解析attestationObject提取该字段进行对比。

• 验证Attestation签名与证书链
  真实硬件认证器生成的凭证会附带可验证的attestation签名，对应的证书链能追溯到FIDO联盟等可信根CA。而Chromium模拟器要么使用无签名的none attestation格式，要么生成自签名的测试证书，无法通过真实信任链的验证。后端验证时可拒绝none格式（若业务要求强认证），或校验证书的可信性。

• 观察用户验证行为差异
  如果前端请求中指定了userVerification: 'required'，真实认证器会强制要求用户完成指纹、PIN等验证步骤才能生成凭证；但Chromium模拟器会直接跳过实际验证流程，直接返回凭证。不过若前端未要求强验证，真实设备也可能跳过验证，这一点仅作为辅助判断依据。

• 辅助参考认证器传输模式
  Chromium模拟器默认模拟平台型认证器（authenticatorAttachment为platform），但也可配置为跨平台模式。真实跨平台硬件密钥（如YubiKey）的传输模式为cross-platform，而平台型认证器（如Touch ID）为platform，该点仅能作为补充判断，不能单独作为区分依据。

内容的提问来源于stack exchange，提问作者JWally