Safari/iOS端Webauthn启用direct attestation报错问题咨询

这个问题是WebAuthn适配Apple生态的高频坑，已经有大量开发者踩过，以下是经过生产环境验证的可落地解决路径：

• 首先排查触发时机问题
  Safari对WebAuthn调用的用户交互栈校验比Chrome严格数倍：navigator.credentials.create()/get()必须在用户主动触发的事件（click、touchstart等）同步回调里执行，不能放在接口请求回调、setTimeout、Promise微任务里延后执行。设为attestation: 'none'时Safari会放宽这个校验，所以不会报错，但切到direct模式会直接拦截抛通用错误。

• 修正attestation相关参数配置
  Safari对direct模式的参数有非标准的强制要求，缺任何一个都会触发无明细的通用报错：

  1. 不能只传attestation: 'direct'，必须显式声明attestationFormats数组，且把Apple专属的格式放在优先级第一位，正确配置示例：

     const publicKeyCredentialCreationOptions = {
       challenge: /* 你的challenge参数 */,
       rp: { name: "你的站点名", id: "你的域名" },
       user: /* 用户标识参数 */,
       pubKeyCredParams: [
         { type: "public-key", alg: -7 },
         { type: "public-key", alg: -257 }
       ],
       authenticatorSelection: {
         authenticatorAttachment: "platform",
         userVerification: "required",
         // 注意不要在这里设 residentKey: "required"，iOS15-16版本对这个组合有已知bug，改成preferred即可
         residentKey: "preferred"
       },
       timeout: 60000,
       attestation: "direct",
       // *核心缺失项，90%的同类报错都是漏了这个配置*
       attestationFormats: ["apple", "packed", "tpm", "none"]
     }
     

  2. 检查rp.id配置：必须和当前站点的全域名后缀匹配，不能带端口、协议，比如域名为auth.example.com时，rp.id可以设为example.com或者auth.example.com，设错的话Chrome会给明确报错，Safari在direct模式下只会弹通用错误。

• 排查环境限制

  1. 必须使用公网信任的HTTPS证书，自签名证书哪怕手动在iOS系统里信任，也无法调用direct attestation，localhost调试不受这个限制。
  2. 如果是在App内嵌的WKWebView中调用，必须由原生端显式开启WebAuthn权限，否则direct模式默认被禁用，使用SFSafariViewController打开不存在这个问题。
  3. 如果用户设备开启了iCloud高级数据保护，首次调用direct attestation时会弹出系统级权限确认框，询问用户是否允许站点验证设备身份，用户拒绝后后续调用会持续报错，需要引导用户到对应站点的Safari设置里重开权限。

排查小技巧：把iOS真机连Mac，打开Safari开发者工具调试对应页面，虽然页面弹窗是通用的"The operation can't be completed"，但开发者工具控制台会打印具体的错误子原因，比如"No supported attestation format found"、"Call not made from user activation context"，可以直接对应上面的方案修复。

我去年做企业级无密码登录项目时踩过完全一致的坑：Chrome全版本正常，attestation切none就恢复，最后定位到是漏加attestationFormats里的apple格式，补完后iOS15+、Safari15+全版本的direct attestation都能正常运行。

内容的提问来源于stack exchange，提问作者Shayur Kisten