WebAuthn/passkey优化：如何取消用户名要求，实现无区分登录流程

完全可以实现仅用一个“使用passkey登录”按钮完成注册/登录一体化操作，不需要强制用户输入用户名或邮箱，核心是利用WebAuthn的无指定凭证发现模式和后端的动态流程切换逻辑：

前端核心逻辑 #

• 点击按钮后，首先发起**凭证获取（navigator.credentials.get()）**请求，不传入allowCredentials参数（或传入空数组），让浏览器自动扫描当前设备/绑定的认证器中属于你的应用RP ID的所有passkey。
• 如果浏览器找到匹配的passkey，直接将凭证返回后端完成登录。
• 如果浏览器返回“无可用凭证”的错误，前端自动切换到**凭证创建（navigator.credentials.create()）**流程：
  • 不需要用户输入用户名，直接生成一个随机的匿名用户标识（比如UUID）作为user.id，或者让认证器自动生成用户句柄；
  • 传入必要的RP信息、挑战值等，让认证器创建新的passkey。

后端处理逻辑 #

• 登录验证：接收前端传来的凭证，通过凭证ID和公钥查找对应的用户账号，验证签名通过后直接完成登录。
• 自动注册：接收新创建的passkey凭证，直接生成新的用户账号（仅存储WebAuthn必要字段：公钥、用户句柄、凭证ID、RP ID、签名计数器等，无需邮箱或用户名），完成账号创建后直接登录用户。
• 后续可在用户登录后引导补充邮箱、昵称等信息，用于账号找回或个性化设置，不影响初始的一键流程。

隐私与存储优化 #

• 全程不需要强制收集邮箱或用户名，后端仅存储WebAuthn必要的认证数据，不会增加隐私数据存储量。
• 用户句柄建议使用随机字节数组生成，避免关联真实用户信息，进一步提升隐私安全性。

注意事项 #

• 确保应用的RP ID设置正确（比如yourdomain.com），这是浏览器识别应用专属passkey的核心标识。
• 主流现代浏览器（Chrome、Safari 16+、Edge）均支持无allowCredentials的凭证获取请求，旧版浏览器可做降级提示（比如引导使用邮件登录）。

内容的提问来源于stack exchange，提问作者Kevin Renskers