Enhance the sign-in functionality by FIDO2

[arealclimber]

• 手機登入會失敗，要看遠端機器 log
• 在 cookie 到期前，讓用戶下次進網站保持登入
• verify cookie (FIDO2) 內容跟過期時間 -> comment
• 確認用戶不論用 mac 或 iphone 登入都是用同一對公鑰私鑰

---

ref:

• 實作 FIDO2 無密碼認證系統 - 以 Nextjs 為例
• webauthn
• issue about userHandle
• passkey vs webauthn

[arealclimber]

[arealclimber]

taking 2 hrs
remaining 3 hrs

[arealclimber]

註冊 (Passwordless by webauthn) sequence diagram

[arealclimber]

#129

[arealclimber]

• 用 mac 的 keychain 註冊 username 為 register on mac 之後，用 iPhone 掃 QR code ，一樣使用 keychain 的 register on mac，獲得一樣的 credential data
• 透過固定 client.register(userHandle) 讓用戶可以用 keychain 重複註冊，並且讓新的用戶名稱覆蓋舊的用戶名
• 在 mac 上重新註冊 username 之後，原本在 keychain 的 username 也會跟著改，確保只有一個帳號

Screen.Recording.2024-04-10.at.15.15.16.mov

[arealclimber]

taking 1 hr

• 沒有保留用戶註冊的資料，就無法取得用戶的 credential (public key)，所以現階段不去檢查 cookie validity ，只要有 cookie 就讓用戶保持登入狀態

remaining 2 hrs

[arealclimber]

雖然現在沒有 verify cookie，但是cookie過期會自動刪除，算是達成當前目標：用 FIDO2 / webauthn 達成不用密碼也能登入登出功能，實際登入功能需要伴隨真實後端跟DB以及實際註冊功能才能達到用戶 public key 去 verify，這些是只有前端的情況下無法達成的條件，所以這張 issue 先關閉