WebAuthn Passkeys与跨平台密钥同步治理

WebAuthn Passkeys与跨平台密钥同步治理概览Passkeys 通过公钥加密实现无密码登录；设备与账号间可同步凭证并降低钓鱼风险。关键治理：注册/认证流程、密钥轮换与撤销、跨平台同步与风险控制。技术参数（已验证）注册参数：`publicKey` 包含 `rp.id`、`user.id/name`、`pubKeyCredParams`、`challenge`、`attestation`；返回 `id`、`rawId`、`response.attestationObject/clientDataJSON`。认证参数：`allowCredentials`、`timeout`、`userVerification`；返回 `authenticatorData`、`clientDataJSON`、`signature`、`userHandle`。AAGUID 与 attestation：用于判定设备类型与可信度；可选择 `none` 以保护隐私。同步与平台：平台 Passkey 支持跨设备同步；需结合风险引擎判断异常迁移与登录。回放与抗钓鱼：绑定 `rpId` 与原始挑战；基于源/域名校验有效性，降低中间人与转发风险。实战清单启用 `userVerification=required` 与设备可信策略；在后端记录 AAGUID 画像。提供凭证管理与撤销入口；异常登录触发二次校验或降级。与现有会话/令牌体系集成，统一审计与配额治理。