Syncfusion 推出的ASP.NET Core UI 控件庫，由 Essential JS 2 驅動，是構建應用程序的得力工具。它擁有超 90 個組件，能滿足各類業(yè)務需求。該庫輕量且模塊化，按需引用可減少應用體積。組件性能卓越，響應式設計且觸摸友好，能適配多種設備。
在當今的數(shù)字環(huán)境中，確保安全且用戶友好的身份驗證方法對于保護用戶數(shù)據(jù)和提升用戶體驗至關重要。通行密鑰認證（Passkey authentication）便是一種備受關注的方法，它利用 FIDO2 標準提供無密碼、抗網(wǎng)絡釣魚的安全保護。
在本文中，我們將探討如何使用 fido2-net-lib（一個簡化 FIDO2 身份驗證集成的.NET 庫）在ASP.NET Core 應用程序中實現(xiàn)通行密鑰認證。

Essential Studio for ASP.NET Core 正版試用下載

什么是通行密鑰認證？

通行密鑰認證是基于公鑰密碼學的無密碼身份驗證方式，用戶設備生成密鑰對（公鑰存服務器、私鑰留設備），認證時設備用私鑰簽名服務器發(fā)送的挑戰(zhàn)信息，無需傳輸身份數(shù)據(jù)即可完成驗證，兼具安全性與易用性。

開始使用 fido2-net-lib

要在我們的網(wǎng)站上實現(xiàn)通行密鑰認證，需先設置 fido2-net-lib 庫。請按照以下步驟操作：
步驟 1：安裝 fido2-net-lib
首先，在你的 .NET 項目中安裝 fido2-net-lib 包。你可以通過 NuGet 包管理器或 .NET CLI 進行安裝：

dotnet add package fido2-net-lib

using Fido2NetLib;
public void ConfigureServices(IServiceCollection services)
{
    services.AddFido2(options =>
    {
        options.ServerDomain = "example.com",
        options.ServerName = "Example",
        options.Origins = "http://example.com"
    };
}

請參考以下代碼示例生成認證選項。

· 用戶信息：第一個參數(shù)是 Fido2User 對象，包含用戶的顯示名稱、用戶名和唯一標識符等信息。

· 排除列表：第二個參數(shù)是 PublicKeyCredentialDescriptor 對象列表，可用于排除某些憑證的使用。例如，可防止用戶多次注冊同一設備。

· 認證器選擇：第三個參數(shù)是 AuthenticatorSelection 對象，用于定義選擇認證器的標準。例如，可指定僅允許跨平臺認證器。

· 認證傳輸偏好：最后一個參數(shù)是 AttestationConveyancePreference 枚舉，指示認證數(shù)據(jù)應如何傳輸給依賴方，選項包括 None（無）、Indirect（間接）和 Direct（直接）。

生成的認證選項將以 JSON 響應形式發(fā)送到用戶設備，用戶設備將使用這些選項創(chuàng)建新的密鑰對并返回一個認證對象。
注冊憑證
要完成注冊流程，需實現(xiàn)客戶端邏輯，使用認證選項創(chuàng)建新憑證。這包括通過 navigator.credentials.create () API 調(diào)用傳入認證選項。
當客戶端返回響應時，我們驗證并存儲憑證。

[Route("/register")]
public async Task<JsonResult> MakeCredential([FromBody] AuthenticatorAttestationRawResponse attestationResponse, CancellationToken cancellationToken)
{    // 1. Get the options that we sent to the client
    var jsonOptions = HttpContext.Session.GetString("fido2.attestationOptions");
    var options = CredentialCreateOptions.FromJson(jsonOptions);
    // 2. Create a callback so that lib can verify that the credential id is unique to this user
    IsCredentialIdUniqueToUserAsyncDelegate callback = static async (args, cancellationToken) =>
    {        var users = await Storage.GetUsersByCredentialIdAsync(args.CredentialId, cancellationToken);
        if (users.Count > 0)
            return false;
        return true;    };
    // 2. Verify and make the credentials
    var credential = await fido.MakeNewCredentialAsync(attestationResponse, options, callback, cancellationToken: cancellationToken);
    // 3. Store the credentials in the database
    Storage.AddCredential(options.User, new Credential
    {  Id = credential.Id,
        PublicKey = credential.PublicKey,
        SignCount = credential.SignCount,
        RegDate = DateTimeOffset.UtcNow,
        Transports = credential.Transports,
        IsBackedUp = credential.IsBackedUp,
        userId = userId,
        DeviceName = "User Device 1"    });
    // 4. Return "ok" to the client
    return Json(credential.Status);}

MakeNewCredentialAsync 方法用于驗證客戶端的認證響應，并在驗證成功時創(chuàng)建新憑證。該方法確保注冊流程的安全性和完整性。

步驟 5：通行密鑰認證

用戶完成設備注冊后，需實現(xiàn)認證流程以驗證其身份。該過程包括生成斷言選項、將其發(fā)送至用戶設備，然后驗證響應以完成用戶登錄。
生成斷言選項
請參考以下代碼示例生成斷言選項。

[Route("/AssertionOptions")]
public JsonResult AssertionOptionsPost(string email)
{
    // 1. Get user from DB
    var user = DemoStorage.GetUser(username);
    // 2. Get registered credentials from the database
    List<PublicKeyCredentialDescriptor> existingCredentials = Storage.GetCredentialsByUser(user).Select(c => c.Descriptor).ToList();
    // 3. Assertion options
    var options = fido.GetAssertionOptions(
        existingCredentials,
        UserVerificationRequirement.Preferred
    );
    // 4. Temporarily store options, session/in-memory cache/redis/db
    HttpContext.Session.SetString("fido2.assertionOptions", options.ToJson());
    // 5. Return options to the client
    return Json(options);
}

GetAssertionOptions 方法生成設備認證所需的斷言選項（含網(wǎng)站、用戶信息及挑戰(zhàn)值）。
驗證響應流程：

· 格式轉換：將斷言選項從 Base64URL 轉為 Uint8Array（適配 WebAuthn 加密操作）。

· 生成斷言：調(diào)用navigator.credentials.get()傳入選項，觸發(fā)設備生成含加密證明的斷言。

· 響應準備：將斷言組件轉為 Base64URL 格式以便網(wǎng)絡傳輸。

· 服務器驗證：將響應發(fā)送至服務器完成身份驗證。

當客戶端返回響應時，驗證憑證以使用憑證登錄。

當客戶端返回響應時，驗證憑證以使用憑證登錄。

[Route("/VerifyPasskey")]
public async Task<JsonResult> MakeAssertion(VerifyPasskeyResponse clientResponse, CancellationToken cancellationToken)
{    // 1. Get the assertion options we sent the client and remove them from storage
    var jsonOptions = HttpContext.Session.GetString("fido2.assertionOptions");
    HttpContext.Session.Remove("fido2.assertionOptions");
    var options = AssertionOptions.FromJson(jsonOptions);
    // 2. Get registered credentials from the database
    StoredCredential creds = Storage.GetCredentialById(clientResponse.Id);
    // 3. Get credential counter from the database
    var storedCounter = creds.SignatureCounter;
    // 4. Create a callback to check if userhandle owns the credentialId
    IsUserHandleOwnerOfCredentialIdAsync callback = async (args) =>
    {        List<StoredCredential> storedCreds = await DemoStorage.GetCredentialsByUserHandleAsync(args.UserHandle);
        return storedCreds.Exists(c => c.Descriptor.Id.SequenceEqual(args.CredentialId));    };
    // 5. Make the assertion
    var res = await fido.MakeAssertionAsync(clientResponse, options, creds.PublicKey, storedCounter, callback);
    // 6. Store the updated counter
    DemoStorage.UpdateCounter(res.CredentialId, res.Counter);
    // 7. return OK to client
    return Json(res);
}

· 反序列化：首先將接收到的斷言響應轉換為可處理的數(shù)據(jù)格式。

· 憑證檢索：從數(shù)據(jù)庫中獲取用戶存儲的憑證信息（如與通行密鑰關聯(lián)的公鑰）。

· 構建驗證請求：創(chuàng)建包含挑戰(zhàn)值、用戶憑證及其他驗證參數(shù)的請求對象。

· 驗證簽名：通過 FIDO2 庫驗證斷言的簽名有效性，確認用戶對憑證的所有權。

若驗證成功，用戶將被授予系統(tǒng)訪問權限。該方法是實現(xiàn)安全無密碼認證的核心組件，能夠簡化認證流程，同時提升安全性與用戶體驗。
慧都科技是?家?業(yè)數(shù)字化解決?案公司，專注于軟件、?油與?業(yè)領域，以深?的業(yè)務理解和?業(yè)經(jīng)驗，幫助企業(yè)實現(xiàn)智能化轉型與持續(xù)競爭優(yōu)勢。
慧都科技作為 Syncfusion 的中國區(qū)合作伙伴，Syncfusion 作為 UI 組件研發(fā)領域的領先技術提供商，提供 Essential Studio 等強大工具，助力企業(yè)實現(xiàn)高效的應用開發(fā)與管理。Essential Studio 包括 1900 多個組件和框架，支持 WinForms 等多個主流開發(fā)平臺，其組件功能強大，可滿足大量數(shù)據(jù)處理需求。Essential Studio 提供豐富的學習資源，包括視頻教程、文檔和知識庫，幫助開發(fā)者快速掌握使用方法。