在华为设备应用中本地实现FIDO2服务端逻辑是错误做法吗？

问题一：应用内本地实现FIDO服务端逻辑的可行性与安全性 #

• 可行性：技术上完全可以实现，你在华为Demo里见到的服务端模拟器就是这类实现，本质是把依赖方（Relying Party, RP）的服务端逻辑搬到客户端本地运行，仅适合学习、本地功能验证场景使用。
• 是否为错误实践：生产环境属于严重错误实践，仅开发测试阶段可以临时使用。
• 安全性影响：
  • 生物识别数据不受影响：FIDO2协议本身要求生物特征原始数据只能存储在设备本地的可信执行环境（TEE）/安全元件（SE）中，无论服务端部署在本地还是远端，都无法获取这部分数据，所以这部分不存在额外风险。
  • 注册、认证核心数据存在极高安全风险：FIDO2流程要求RP侧必须安全存储公钥凭证、用户句柄、签名计数器等核心校验数据，如果把这些逻辑放在本地应用中，相当于所有校验数据完全暴露在客户端运行环境，极易被篡改、窃取：
    • 注册阶段攻击者可以直接替换合法公钥凭证，后续可随意绕过身份校验
    • 认证阶段攻击者可以篡改挑战值（challenge）、签名计数器数值，直接绕过防重放、防克隆的核心校验逻辑
      生产环境如果这么做，相当于整个FIDO2的身份校验体系完全失效，没有任何安全价值。

问题二：免费可用的FIDO服务器接入选项 #

目前针对个人开发者、小体量应用，有不少免费的方案可选：

• 开源自建：你可以直接使用成熟的开源FIDO2 RP实现，比如java-webauthn-server、fido2-lib等，非商业使用基本都是免费授权，你可以部署在本地或者免费的云容器实例中，数据完全自主可控。
• 身份云服务免费套餐：多数主流的身份认证云服务都提供FIDO2能力的免费额度，针对个人开发者、月活低于一定量级的应用完全免费，不需要自己维护服务，直接调用封装好的标准接口即可。
• 开源IAM系统内置模块：很多开源身份访问管理（IAM）系统都自带了FIDO2服务模块，部署完成后直接开启对应功能即可使用，没有额外成本。

内容的提问来源于stack exchange，提问作者BlackDSan