WebAuthn 通过 await navigator.credentials.get(...) 发起异步认证，用户完成系统级生物识别后返回凭证，前端仅能判断成功（resolve）或失败（reject），无法读取指纹数据；需 HTTPS、用户手势触发，并由后端验签。
JavaScript 中无法直接调用设备指纹识别（如 Windows Hello、Touch ID、Face ID），因为浏览器不暴露底层生物特征传感器；实际使用的是 Web Authentication API（WebAuthn），它通过密钥对实现“无密码登录”，而系统级的指纹/人脸验证由操作系统在后台完成——JS 只能感知其成功或失败的结果，不能主动“读取”或“测试”指纹本身。
如何正确发起并处理 WebAuthn 异步校验
WebAuthn 的认证（authentication）流程本质是异步的，需用 await navigator.credentials.get(...) 触发系统弹窗，用户完成生物识别后返回结果。关键在于捕获响应、解析凭证、验证签名：
- 调用
navigator.credentials.get()前确保页面为 HTTPS（本地localhost也允许）且处于安全上下文（如用户手势触发：click、tap） - 传入的
challenge必须是服务端生成的随机值（Uint8Array），且后续需由后端验证签名时复用 - 成功返回的
PublicKeyCredential对象含response.signature、response.authenticatorData等字段，需完整发送给后端验签 - 失败时会抛出
DOMException，常见name值有"NotAllowedError"（用户取消）、"NotSupportedError"（浏览器不支持）、"SecurityError"（非安全上下文）
前端可做的简单结果判断（非“测试指纹”，而是判断校验是否成功）
你不能检查“指纹是否匹配”，但可以明确知道用户是否通过了系统级验证：
Alibabacloud Sdk Client Initialization For Java
下载
在 Java 中初始化和管理阿里云 SDK客户端。包括单例模式、线程安全、endpoint 与 region 配置、VPC 终端节点、同步与异步等。
- Promise resolve → 表示用户已成功完成生物识别（或 PIN/安全密钥），且凭证有效；此时可认为“身份核验通过”
- Promise reject → 根据 error.name 区分原因，例如：
if (err.name === "NotAllowedError") { /* 用户点了取消 */ } - 注意：即使用户用指纹通过，JS 也拿不到任何指纹图像、模板或特征数据 —— 这是刻意设计的安全隔离
调试与兼容性提示
开发阶段快速确认 WebAuthn 是否可用：
立即学习“Java免费学习笔记（深入）”；
- 在控制台执行
!!navigator.credentials && !!navigator.credentials.get，返回true表示基础 API 可用 - Chrome / Edge / Safari（16.4+）/ Firefox 支持良好；iOS Safari 需 iOS 16.4+ 且仅限部分场景（如密码自动填充联动）
- 真机测试必须开启系统生物识别（如 macOS 开启 Touch ID、Windows 启用 Windows Hello），模拟器通常不支持
- 避免在自动脚本或 onload 中调用 —— 浏览器会静默拒绝，必须由用户主动点击触发
本质上，你不是在“测试指纹识别”，而是在调用一个受保护的身份断言接口；它的异步结果就是最终答案 —— 成功即通过，失败即中止，无需也无权深入校验细节。
