go-webauthn

事实及其依据的检查

以下内容均非抄自文档。检查脚本 content/libraries/verify/go-webauthn/run.sh 于2026年10月20日在容器镜像 golang:1.27.3-trixie 中运行了 go-webauthn 0.18.2；本页内容必须与它的输出一致，每条事实都列出了对应的输出行。

• 默认 COSE 算法

  -7-35-36-257-258-259-37-38-39-8

  BeginRegistration 列出的 COSE 算法为 -7、-35、-36（ES256/384/512），-257、-258、-259（RS256/384/512），-37、-38、-39（PS256/384/512）以及 -8（Ed25519）。

  检查记录

  fact webauthn-default-algorithms = -7, -35, -36, -257, -258, -259, -37, -38, -39, -8

• 默认证明方式

  none

  证明传递方式默认为 none。

  检查记录

  fact webauthn-attestation = none

• 默认用户验证

  preferred

  authenticatorSelection 默认以空对象发送，因此浏览器采用 preferred。

  检查记录

  fact webauthn-user-verification = preferred
  evidence webauthn-user-verification: authenticatorSelection in BeginRegistration output: {}

• 默认驻留密钥

  discouraged

  选项中没有 residentKey 时，适用 WebAuthn 的默认值 discouraged。

  检查记录

  fact webauthn-resident-key = discouraged

• 默认强制用户验证

  no

  会话的用户验证要求为 preferred 时，只设置了 UP 标志的注册和断言都验证通过；设为 required 时，断言报错 User verification required but flag not set by authenticator。

  检查记录

  fact webauthn-uv-enforced-by-default = no
  evidence webauthn-uv-enforced-by-default: registration with the UV flag clear, session UV preferred: verified

• 断言签名编码

  der

  带 DER 签名的正确 ES256 断言验证通过。

  检查记录

  fact webauthn-assertion-encoding = der

• 原始 r‖s 断言签名

  rejected

  64 字节的原始 r‖s 签名报错 Error validating the assertion signature: Signature invalid or not provided。

  检查记录

  fact webauthn-raw-signature = rejected

• high-S 断言签名

  accepted

  把 s 替换为 n − s 的 DER 签名验证通过。

  检查记录

  fact webauthn-high-s = accepted

• 签名计数器回退

  flagged

  已存储值为 5 时，计数器为 3 的登录并未失败：返回的凭证中 CloneWarning 为 true，SignCount 仍为 5。

  检查记录

  fact webauthn-counter-regression = flagged
  evidence webauthn-counter-regression: counter 3 after a stored 5: login succeeded, CloneWarning true, SignCount now 5
  evidence webauthn-counter-regression: counter 0 after a stored 0: verified, CloneWarning false

• Ed25519 凭证

  supported

  Ed25519（COSE -8）凭证的注册和身份验证均成功。

  检查记录

  fact webauthn-ed25519 = supported
  evidence webauthn-ed25519: verified

用法

package main

import (
	"fmt"

	"github.com/go-webauthn/webauthn/protocol"
	"github.com/go-webauthn/webauthn/webauthn"
)

type user struct{}

func (user) WebAuthnID() []byte                         { return []byte("user-1") }
func (user) WebAuthnName() string                       { return "user@example.com" }
func (user) WebAuthnDisplayName() string                { return "User" }
func (user) WebAuthnCredentials() []webauthn.Credential { return nil }

func main() {
	w, _ := webauthn.New(&webauthn.Config{
		RPID: "example.com", RPDisplayName: "Example", RPOrigins: []string{"https://example.com"},
		// Without this, options say nothing about UV or discoverable credentials.
		AuthenticatorSelection: protocol.AuthenticatorSelection{
			ResidentKey: protocol.ResidentKeyRequirementRequired, UserVerification: protocol.VerificationRequired,
		},
	})
	creation, session, _ := w.BeginRegistration(user{})
	// The session carries the requirement into FinishRegistration/FinishLogin.
	fmt.Println("uv:", creation.Response.AuthenticatorSelection.UserVerification, session.UserVerification)
	fmt.Println("resident key:", creation.Response.AuthenticatorSelection.ResidentKey)
}