一份关于在 Node.js 中实现 WebAuthn 的综合技术指南，旨在从易受攻击的 JWT 模式过渡到安全的、基于生物识别的无密码身份验证。
📝 详细摘要
本文为开发者提供了使用 Node.js 和 Express 实现 WebAuthn（通行密钥）的详细路线图。文章首先批判了长效 JWT 的常见缺陷，这些 JWT 容易受到窃取和重放攻击。作者解释了 WebAuthn 的加密基础——即私钥保留在设备上的非对称加密——并详细介绍了注册和身份验证的“仪式”（ceremony）。除了基础设置外，本指南还涵盖了生产环境中的关键问题，包括安全会话管理、多设备恢复策略以及针对高风险操作实施“逐步验证”（step-up authentication），为现代身份管理提供了一套完整的架构模式。
💡 主要观点
- 基于 JWT 的身份验证往往会失败，因为它证明的是令牌的所有权，而不是设备的信任度。 标准的 JWT 实现依赖于可重用的持有者令牌（bearer tokens），如果通过 XSS 或恶意软件被窃取，攻击者可以在令牌过期前无需进一步验证即可重放会话。
💬 文章金句
- JWT 身份验证看起来很简洁，直到被窃取的令牌在你的服务器上仍然有效。这就是真正的问题所在：持有者令牌证明的是对令牌的拥有，而不是对受信任设备的拥有。
- WebAuthn 为你提供了更强的证明，因为密钥永远不会离开验证器。
- 不要运行完整个 WebAuthn 流程，然后颁发一个为期一周的持有者令牌就完事了。那样做就抛弃了该设计中最精华的部分。
- 那个计数器更新是你发现克隆或损坏的验证器时，仅有的几个信号之一。
- 逐步验证的意思是：用户已经登录，当他们尝试进行敏感操作时，服务器要求进行一次全新的 WebAuthn 仪式。
📊 文章信息
AI 评分：85
来源：freeCodeCamp.org
作者：Sumit Saha
分类：软件编程
语言：英文
阅读时间：15 分钟
字数：3631
标签： WebAuthn, Node.js, Passkeys, 网络安全, 身份验证