为什么用webauthn代替挑战？

Question

以下字符串对于服务器生成的挑战和客户端生成的挑战是不同的：

• +-> -
• /-> _
• =-> （空白）

为什么我们需要做替代来解决这个问题？

供参考的源代码。

• webauthn.io

  • https://webauthn.io/dist/js/webauthn.js

• Jxck / jxck.io

  • https://github.com/Jxck/jxck.io/blob/master/labs.jxck.io/webauthentication/fido-u2f/static/js/base64.mjs

Answer 1

它看起来像是普通的Base64编码和Base64 URL，填充与无填充选项（跟踪=）之间的区别。与前者相反，后者可以安全地在URL中使用。另请参见https://en.wikipedia.org/wiki/Base64#URL_applications

Webauthn需要using Base64 URL encoding，而某些功能（例如javascript的atob或btoa）则采用简单的Base64编码方案，因此需要从一种转换为另一种。