WebAuthn能否实现无服务端客户端本地指纹校验触发指定操作？

结论 #

你对WebAuthn的认知存在偏差：Web端完全可以实现仅客户端侧的生物识别校验，不需要服务端参与，也不需要持久化存储凭证，甚至有接近一行代码的实现方案。

可用实现方案 #

方案1：标准WebAuthn兼容方案（支持所有现代浏览器） #

不需要和服务端交互，不需要提前注册凭证，仅用随机生成的一次性参数发起校验请求，系统唤起生物识别校验，通过后即可执行后续逻辑，示例代码如下：

async function verifyBiometricAndRun(callback) {
  try {
    await navigator.credentials.get({
      publicKey: {
        challenge: crypto.getRandomValues(new Uint8Array(32)), // 随机生成即可，无需后端校验
        allowCredentials: [],
        userVerification: "required"
      }
    });
    // 生物识别校验通过，执行传入的逻辑
    callback();
  } catch (err) {
    console.log("校验失败或不支持生物识别：", err);
  }
}

// 调用示例：校验通过后发送AJAX请求
verifyBiometricAndRun(() => {
  fetch("/your-target-api", {
    method: "POST",
    body: JSON.stringify({/* 你的请求参数 */})
  });
});

该方案兼容性覆盖 Chrome 67+、Firefox 60+、Safari 13+，满足绝大多数现代浏览器的使用需求。

方案2：极简API方案（支持较新浏览器） #

如果你只需要兼容2023年之后发布的浏览器版本（Chrome 116+、Edge 116+、Safari 17+），可以直接使用新增的用户验证API，几乎是一行代码实现：

// 校验通过后才执行后续逻辑
if (await navigator.userAuthentication?.isUserVerified()) {
  fetch("/your-target-api", {/* 请求参数 */});
}

补充说明 #

• 两种方案均为纯客户端校验，安全性完全由操作系统的生物识别能力保证，符合你只需要客户端侧校验的需求。
• 只有当你需要防客户端篡改的高安全级别校验时，才需要将WebAuthn的校验结果同步到服务端做二次验证，你的场景完全不需要这一步操作。

内容的提问来源于stack exchange，提问作者richie