javascript - 跨多个子域的 WebAuthn

Question

我正在尝试在我的网站上设置 WebAuthn 身份验证流程，但我遇到了一个问题。我希望我的用户能够在主网站 (www.domain.com) 上注册他们的设备，以便通过他们的用户设置轻松访问。身份验证本身通过 IdP (sso.domain.com) 在不同的子域上进行。这是麻烦开始的地方。

我试过一些东西:

• 在 www.scoutswechel.be 上注册和验证，将“www.scoutswechel.be”作为 rp.id 传递给两者 => 有效。
• 在 www.scoutswechel.be 上注册，在 sso.scoutswechel.be 上进行身份验证，将“www.scoutswechel.be”作为 rp.id 传递给两者 => 身份验证步骤失败，因为身份验证器未返回任何 key 。
• 在 www.scoutswechel.be 上注册，在 sso.scoutswechel 上进行身份验证，分别将这些域作为 rp.id 传递 => 身份验证步骤失败，因为身份验证器未返回任何 key 。
• 在 www.scoutswechel.be 上注册，在 sso.scoutswechel.be 上进行身份验证，将“scoutswechel.be”作为 rp.id 传递给两者 => 注册步骤已经失败，不同浏览器会出现不同的错误(例如“key returned something unexpected (2)' Chrome )。

如果我正确理解规范，传递“scoutswechel.be”实际上应该有效，因为这两个域都是主域的子域(如果我在这里错了请纠正我)。

我用 PHP 准备我的挑战，并通过 ajax 调用将它们传递到页面。我的 PHP 脚本返回例如以下值:

{
   "publicKey":{
      "challenge":[105,107,101,103,105,49,119,115,98,108,119,109,48,109,105,53],
      "user":{
         "name":"walter",
         "displayName":"Wouter Henderickx",
         "id":[49,48,51]
      },
      "rp":{
         "id":"scoutswechel.be",
         "name":"scoutswechel.be"
      },
      "pubKeyCredParams":[
         {
            "alg":-7,
            "type":"public-key"
         }
      ],
      "authenticatorSelection":{
         "authenticatorAttachment":"cross-platform",
         "requireResidentKey":false,
         "userVerification":"preferred"
      },
      "attestation":null,
      "timeout":60000,
      "excludeCredentials":[],
      "extensions":{
         "exts":true
      }
   },
   "b64challenge":"aWtlZ2kxd3NibHdtMG1pNQ"
}

然后我将挑战和 user.id 转换为 Uint8Array 并将公钥部分传递给:

navigator.credentials.create({publicKey: key.publicKey}).
	then(function (aNewCredentialInfo) {
		do.stuff()
	})

我该怎么办？我可以将什么值传递给 rp.id 以使其跨两个子域工作？

Answer 1

最后，我想通了。这些都是我这边的实现问题:

• 在我基于我的项目 ( https://github.com/davidearl/webauthn ) 的库中，有一段 javascript 将 rp.name 的值与原点进行比较。由于我传递的是非域名，因此此检查会阻止进一步执行。
• 我为依赖方标识符传递了“rpid”。但是，这应该是“rpId”。由于我的身份验证器无法在没有 rpid 的情况下找到任何凭据，因此它没有返回任何内容，并且我未通过身份验证。