WebAuthn如何获取fido-u2f格式证明 为何默认返回packed格式

你无法通过WebAuthn API的配置项强制指定认证器返回特定的attestation格式，这是WebAuthn规范明确约定的行为：响应中的fmt字段完全由用户侧的认证器（系统内置生物识别模块、外接安全密钥等）自主决定，现有公开参数没有控制该返回值的选项，你当前贴出的配置不存在语法错误。

为什么你拿不到fido-u2f格式 #

fido-u2f是FIDO联盟早期遗留的旧版证明格式，适用范围极窄：

• 仅支持ES256算法（对应alg: -7），不支持你配置里写的RS256（alg: -257）
• 只有早期生产的、仅兼容旧U2F协议的外接硬件安全密钥才可能返回该格式，你要调用的系统内置生物识别能力（Touch ID、Face ID、Windows Hello、安卓系统指纹等）属于平台认证器，从设计上就不会返回fido-u2f格式
• 目前多数Chromium内核浏览器会主动把认证器返回的旧版fido-u2f格式自动转换为标准packed格式再返回给前端，哪怕硬件本身发的是u2f格式的证明，前端拿到的也会是packed

实操建议 #

• 不要硬编码依赖某一种attestation格式做服务端校验，符合WebAuthn规范的服务端实现需要支持解析所有标准定义的证明格式：packed、fido-u2f、none、tpm、apple、android-key等，成熟的开源WebAuthn服务端库都已经内置了多格式解析能力，不需要自行实现
• 如果只是做基础的生物识别登录/认证场景，不需要做硬件级的证明链校验，可以直接把attestation参数设为"none"，仅校验返回凭证的签名有效性即可，既简化实现逻辑，也能避免采集用户硬件证明信息带来的隐私合规风险
• 如果确实需要测试fido-u2f格式的返回，需要同时满足三个条件：使用仅支持旧U2F协议的外接硬件密钥、pubKeyCredParams中仅保留{type: "public-key", alg: -7}配置项、使用未做格式自动转换的旧版浏览器。

内容的提问来源于stack exchange，提问作者defless