Notes de backend

Votre backend possède toujours la cérémonie WebAuthn normale :

• générer des défis d'enregistrement et d'authentification
• vérifier les réponses d'attestation et d'assertion
• exiger la validation de l'ID et du défi de la partie dépendante
• stocker les informations d'identification et les compteurs de la même manière que pour un flux de navigateur

Ce qui reste le même

Le plugin est conçu pour préserver la forme front-end de votre flux WebAuthn existant code.

• Sur le web, il redirige vers le vrai navigateur WebAuthn API.
• Sur les appareils natifs Capacitor, il retourne des objets de jetons de sécurité similaires à ceux d'un navigateur, alimentés par les API de clés de sécurité natives.
• Votre backend peut conserver la même pipeline de défis et de vérification.

Ce qui change sur Android

Les clés de passe Android ne sont pas identiques au modèle de confiance d'un navigateur.

• Les liens d'actif numérique permettent à Android de partager le même partenaire de confiance et l'écosystème de crédits que votre site web.
• La valeur littérale clientDataJSON.origin peut toujours différer de l'origine du site web.
• Si votre serveur rejette uniquement https://your-domain, Android native assertions can fail even when the passkey is otherwise valid.

les assertions Android natives peuvent échouer même lorsque la clé de passe est autrement valide.

Section intitulée “Règle de backend recommandée”

Autorisez l'origine du navigateur attendue et l'origine de l'application Android attendue pour le même partenaire de confiance lorsque vous supportez les clés de passe natives Android.

• Cela vous donne :
• la prise en charge du navigateur pour le site web : la prise en charge des clés de passe natives dans l'Capacitor application
• un écosystème de clés de passe unique pour le même domaine de partie de confiance

Si vous avez besoin d'appels JSON sûrs directs

et PublicKeyCredentialCreationOptionsJSON , vous pouvez également utiliser le plugin direct __CAPGO_KEEP_0__ au lieu du shim de style navigateur : PublicKeyCredentialRequestOptionsJSON, you can also use the direct plugin API instead of the browser-style shim:

import { CapacitorPasskey } from '@capgo/capacitor-passkey';

const registration = await CapacitorPasskey.createCredential({
  origin: 'https://signin.example.com',
  publicKey: registrationOptionsFromBackend,
});

const authentication = await CapacitorPasskey.getCredential({
  origin: 'https://signin.example.com',
  publicKey: requestOptionsFromBackend,
});

Si vous utilisez

pour planifier les flux d'authentification et de comptes, connectez-le avec Si vous avez besoin d'appels JSON sûrs directs, vous pouvez utiliser le plugin direct __CAPGO_KEEP_0__ au lieu du shim de style navigateur : Si vous utilisez les notes de backend pour planifier les flux d'authentification et de comptes, connectez-le avec Utiliser @capgo/capacitor-passkey pour la capacité native dans Utiliser @capgo/capacitor-passkey, @capgo/capacitor-social-login pour le détail d'implémentation dans @capgo/capacitor-social-login, @capgo/capacitor-passkey pour le détail d'implémentation dans @capgo/capacitor-passkey, @capgo/capacitor-native-biometric pour le détail d'implémentation dans @capgo/capacitor-native-biometric, et L'authentification à deux facteurs pour le détail d'implémentation dans L'authentification à deux facteurs.