如果只用 WebAuthn(Passkey)做网站唯一登录凭证是否靠谱？会有哪些安全风险和弊端？

[raw0xff]

rt 不考虑老用户密码舍弃问题，不考虑用户注册设备丢失问题，不考虑无密码找回重置问题

生物识别会不会没那么靠谱？

[raw0xff]

@jocover 你的设备有没有在 fido （登记？获取？）证书？
抱歉你说的非常对，当时忽略了用户认证器设备的验证，如果服务端不验证用户认证器就存储公钥，那么就有可能存在中间人。可否留个小飞机请教一些问题？

[afxcn]

你比我早 232 天关注 webauthn 这个问题，有在实际项目中用了吗？