如何快速开启 Casdoor WebAuthn 无密码登录Passkey 安全设置与使用完全指南【免费下载链接】casdoorAn open-source Agent-first Identity and Access Management (IAM) /LLM MCP agent gateway and auth server with web UI supporting OpenClaw, MCP, OAuth, OIDC, SAML, CAS, LDAP, SCIM, WebAuthn, TOTP, MFA, Face ID, Google Workspace, Azure AD项目地址: https://gitcode.com/gh_mirrors/ca/casdoorCasdoor是一款开源的身份认证与访问管理IAM系统除了传统的账号密码之外它原生支持WebAuthn / Passkey 无密码登录用户用指纹、面容或设备 PIN 即可完成身份验证登录更安全、也更省心。本文将从新手视角出发完整讲解如何在 Casdoor 中开启 WebAuthn 登录、为用户添加 Passkey、执行无密码登录以及 Passkey 的日常管理与常见注意事项让你 10 分钟上手无密码登录实战。一、WebAuthn 无密码登录是什么为什么值得用WebAuthn 是 W3C 推出的 Web 认证标准Passkey通行密钥就是它在产品层面的形态。与传统密码相比它有三大优势对比项传统密码WebAuthn / Passkey防钓鱼差密码可被诱导输入强密钥与域名绑定仿冒站点无法使用防暴力破解弱可被穷举强每次认证需物理设备 生物特征用户体验记密码、改密码、忘密码一次指纹/面容即可完成登录Casdoor 基于 go-webauthn 的 Features 部分看到 “WebAuthn / passkeys — passwordless sign-in” 的描述。二开启 WebAuthn 登录应用设置三步走WebAuthn 登录能力是按应用Application维度开启的配置入口非常直观登录 Casdoor 管理控制台进入Application应用列表打开目标应用在Sign-in methods登录方式中勾选WebAuthn保存。此后登录页会自动出现 WebAuthn 登录入口。对应的开关字段是enableWebAuthn定义在 application.go新应用创建时的默认值为关闭需要在控制台显式开启 注意WebAuthn 要求页面运行在HTTPS环境localhost 除外生产部署时请先确保站点启用了 SSL 证书。三为你的账号添加 Passkey注册凭证开启后每个用户还需要在本地“注册”一条或多条 Passkey。操作路径使用普通方式密码/验证码先登录一次Casdoor进入用户编辑页找到WebAuthn credentialsWebAuthn 凭证区块点击Add添加按钮浏览器会弹出系统级注册界面按提示完成指纹 / 面容 / 设备 PIN 验证凭证即被保存。添加与删除的交互由 WebauthnCredentialTable.tsx 组件承载它挂载在 UserEditPage.tsx 的用户详情页中前端调用逻辑见 UserWebauthnBackend.ts。注册过程会立即调用后端持久化因此注册成功后无需再点“保存用户”刷新页面即可看到新凭证。四使用 Passkey 完成无密码登录注册完成后再次访问登录页即可体验无密码登录在登录页切换到WebAuthn登录方式直接点击登录可不输入用户名详见下文“免用户名登录”设备弹出指纹/面容验证通过后即完成登录。前端登录逻辑位于 webauthn.ts 的signInWithWebAuthn函数并由 LoginPage.tsx 在用户选择 WebAuthn 方式时触发。亮点免用户名的“可发现登录”Casdoor 实现了 WebAuthn 的Discoverable Credential可发现凭证模式不输入用户名直接点登录浏览器会自动列出该设备上所有匹配此站点的 Passkey由系统签名后服务器反查用户身份。也就是说连账号都不用输一个指纹就能登录。这一能力由后端BeginDiscoverableLogin分支实现见 webauthn.go。五幕后揭秘Casdoor WebAuthn 的两段式流程无论注册还是登录Casdoor 都采用标准的“begin → finish”两阶段 API后端入口集中在 webauthn.go阶段接口作用注册 1GET /api/webauthn/signup/begin服务器下发挑战challenge与注册选项注册 2POST /api/webauthn/signup/finish校验浏览器返回的认证数据把凭证存入用户登录 1GET /api/webauthn/signin/begin下发登录挑战可带或不带用户名登录 2POST /api/webauthn/signin/finish验证签名建立会话或签发 OAuth 令牌几个值得了解的设计细节RPID 自动取域名WebAuthn 实例按请求 Host 动态构建RPID即你的站点域名保证凭证只对本域名有效见 user_webauthn.go默认偏好平台凭证注册选项将ResidentKey设为preferred所以 iPhone/Windows Hello 类设备指纹凭证是首选天然支持免用户名登录见 webauthn.go登录后可直出 OAuth code登录完成的接口支持携带responseTypecode与clientId可一步完成第三方应用的 OAuth 授权流程。六Passkey 的日常管理删除与多设备删除凭证在用户编辑页的 WebAuthn credentials 区块对某条凭证点击Delete即可移除前端调用POST /api/webauthn/delete-credential见 UserWebauthnBackend.ts多设备多 Passkey同一账号可以在手机、电脑上各注册一条 Passkey互不影响适合“手机指纹 电脑指纹”双保险密码仍可并存WebAuthn 与密码、验证码、LDAP、Face ID 是并列的登录方式建议保留密码作为应急通道。七常见问题速答Q1点击登录后浏览器没弹指纹框检查是否为 HTTPS 环境、浏览器是否支持 WebAuthn现代浏览器均支持以及是否已在本站注册过 Passkey。Q2换设备后能直接用 Passkey 吗不能“直接搬”但可用系统钥匙串/云密码管理器同步 Passkey也可在新设备上重新注册一条。Q3Passkey 泄露怎么办删除对应凭证即可旧 Passkey 立即失效这是无密码登录比“万能密码”更安全的原因之一。八相关源码导航想深入阅读实现可以从以下模块路径入手登录页前端web/src/pages/auth/LoginPage.tsxWebAuthn 交互脚本web/src/auth/webauthn.ts应用开关字段object/application.go用户凭证存取object/user_webauthn.go按上述步骤完成配置后你的 Casdoor 就已经拥有一条“指纹即身份”的无密码登录链路欢迎把它用到生产环境中。【免费下载链接】casdoorAn open-source Agent-first Identity and Access Management (IAM) /LLM MCP agent gateway and auth server with web UI supporting OpenClaw, MCP, OAuth, OIDC, SAML, CAS, LDAP, SCIM, WebAuthn, TOTP, MFA, Face ID, Google Workspace, Azure AD项目地址: https://gitcode.com/gh_mirrors/ca/casdoor创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
