WebAuthn FIDO认证器能否与浏览器建立长期绑定及权限相关问题

1. 带生物识别的认证器如何识别合法进程，防止恶意客户端授权？ #

认证器不会直接识别主机上的进程，而是通过多层机制确保只有合法的WebAuthn客户端（比如主流浏览器）能获得授权：

• RP ID校验：浏览器会向认证器传递请求方的RP ID（如example.com），认证器会将其与注册时绑定的RP ID比对，只有完全匹配才会响应。
• 客户端数据哈希校验：浏览器会把当前页面的origin、操作类型（注册/验证）、随机挑战等信息生成哈希传给认证器，认证器会验证该哈希的合法性，确保请求来自合法的网页上下文。
• 操作系统进程隔离：FIDO认证器的系统驱动/API仅允许受信任的进程（如签名过的主流浏览器）访问，恶意进程无法绕过OS的权限控制直接调用认证器接口。同时浏览器自身的沙箱机制会拦截恶意网站的非法请求，不会将其转发给认证器。

2. 是否每次会话都需要输入PIN？ #

不需要，具体规则取决于认证器类型和配置：

• 带生物识别的认证器：优先使用生物识别（指纹/人脸）验证用户在场，验证通过则无需PIN；只有当生物识别失败次数超限（比如连续3次失败）时，才会触发PIN fallback。
• 无生物识别的认证器：通常在**首次注册新的RP（依赖方）**时需要输入PIN，后续同一RP的验证操作，认证器会根据自身策略免PIN（比如设备处于用户可控范围内、近期已完成过验证），部分认证器会设置10分钟左右的免PIN窗口。

3. 浏览器是否会存储pinUvAuthToken直至其失效？ #

是的，主流浏览器（Chrome、Firefox、Edge）都会采取这种机制：

• 浏览器会将单次PIN/生物识别验证生成的pinUvAuthToken加密存储，且绑定到当前RP ID和浏览器会话，不会跨RP或跨会话复用。
• 该令牌的有效期由认证器端设定（通常为10分钟），浏览器会保留令牌直到其过期，过期后需要重新进行用户在场验证生成新令牌。认证器端会严格校验令牌的有效期，即使浏览器仍存储着过期令牌，也无法用于授权操作。

4. 首次应用访问认证器时OS弹出授权对话框的实际案例？ #

有多个实际落地的案例，和客户端TLS证书的授权逻辑一致：

• Windows + Windows Hello：当网站首次请求使用FIDO认证器时，Windows会弹出系统级授权对话框，明确显示请求的网站域名，用户需确认后才能允许该网站访问认证器。
• macOS + Touch ID/Face ID：Safari浏览器首次处理某个网站的WebAuthn请求时，系统会弹出生物识别验证对话框，用户通过验证后即完成授权，后续同一网站的请求可直接使用已授权的上下文。
• Android + 系统生物识别：部分Android浏览器（如Chrome）在首次访问新RP时，会调用系统级的授权弹窗，确认用户是否允许该网站使用设备的FIDO认证器。

内容的提问来源于stack exchange，提问作者user1055568