通行密钥简介

通行密钥简介

这是一次安全性的升级：了解如何添加通行密钥支持以便为用户提供快速而简单的登录体验，同时大幅提高帐户安全性。通行密钥是简单的强凭证，旨在消除网络钓鱼攻击。我们将分享通行密钥的安全设计，说明它的使用方法，讨论如何将通行密钥集成到您的登录流程，并且探索需要采用此功能的平台和网页 API。

资源
相关视频

WWDC23
- 在工作中部署通行密钥
- 网页 App 中的新功能
WWDC22
WWDC20
- 通用链接的新功能
下载

♪ 柔和乐器演奏的嘻哈音乐 ♪ ♪ 嗨我是 Garrett 身份验证体验团队的工程师在这个视频中我很高兴能和大家聊聊通行密钥通行密钥是新一代的验证技术但首先我需要谈谈当今的身份验证技术：密码您可能已经习惯用密码登录几乎所有的 App 和网站密码真的很难安全地使用我们都知道每个帐户都应该创建强大独特的密码但实际上没有多少人会这么做在设计 App 和网站时在保持帐户安全与设计良好体验之间需要不断地权衡即使您的 App 和网站一切正常网络钓鱼和密码重用等问题仍然可能导致帐户泄露在 macOS Monterey 和 iOS 15 中我们宣布了这个解决方案的开发者预览版也就是通行密钥并获得了很多很棒的反馈在 macOS Ventura 和 iOS 16 中我们很高兴通行密钥将向所有人提供现在是采用通行密钥的时候了使用通行密钥不仅能提供比密码更好的用户体验而且整个类别的安全问题如弱密码和重用密码凭据密码凭据泄露和网络钓鱼都不复存在了而且通行密钥非常易于使用让我来给您展示从我们最爱的演示 App Shiny 开始这个 App 每天会为我展示一张可爱的照片并具有典型的基于密码的登录流程我可以点击用户名字段看到我的帐户的自动填充建议选择填充建议登录然后填写密码
然后我稍等片刻直到短信传来一次性验证码
收到了最后登录上了花了几个步骤但在自动填充和密码管理器的帮助下我成功登录了
现在登录上了我将向帐户添加通行密钥帐户管理添加通行密钥这里是用于创建通行密钥的系统表继续完毕！只需几下按键我的设备就为帐户生成了一个独特的加密性强的通行密钥对并存储在 iCloud 钥匙串中从而让通行密钥在我的所有运行 macOS Ventura 和 iOS 16 的设备上同步和工作
现在有了通行密钥让我来展示一下通行密钥多么容易使用我先退出登录又回到了之前用过的登录表单像之前一样点击用户名字段现在我已经为帐户保存了一个通行密钥通行密钥会显示在 QuickType 栏中只要点击它就能登录了一步就能完成保存通行密钥时我不需要设置新密码也不需要满足密码复杂度要求每个通行密钥由系统生成并保证通行密钥强度大且只用于一个帐户当我用通行密钥登录时它可以显示在我习惯的现有登录流程中而且只需轻轻一点就可以使用而且系统会让我仅在正确的 App 或网站上使用通行密钥内置了强大的防钓鱼功能当然通行密钥也可以在网络页面上使用我在 Safari 浏览器上浏览 Shiny 网站就像在我的手机上我点击用户名字段多亏了 iCloud 钥匙串通行密钥已经可以使用了只需要触控 ID 就能登录就这么容易 Apple 的通行密钥实现是建立在开放标准之上我们一直在与 FIDO 联盟内的其他平台供应商合作以确保通行密钥实现兼容跨平台并能在尽可能多的设备上工作把我的帐户升级为使用通行密钥后我仍然可以在我朋友的电脑上登录当然我朋友的电脑没有本地储存通行密钥但我仍然可以在这里输入我的用户名我点击登录时收到一张允许我使用手机的表单然后我收到一个二维码我来扫描一下
我的手机识别出此二维码是用通行密钥登录的当我选择这个选项时我的手机和浏览器就安全地连接在一起了接下来点击继续就能登录上了这种跨平台的登录体验是一流的系统功能是通行密钥背后标准的一部分表面上它看起来非常简单但这不仅仅是一个二维码在后台设备正在执行本地通行密钥协议证明接近性建立一个端到端加密通信通道这些都是为了简化登录方式但又能保持通行密钥强大的对抗钓鱼能力它可以让我在任何设备上安全地登录我的帐户密码替换的另一个重要功能是可以在两人或多人之间共享帐户要与其他人共享通行密钥我可以使用 AirDrop
我和我的伙伴也有一个共享的 Shiny 帐户我已经将帐户升级为使用通行密钥有了通行密钥我就无需输入密码凭证但我仍然可以与我信任的人分享通行密钥在我的手机上我打开帐户详细信息
这是我所有使用密码和通行密钥的帐户我可以点击我们的共享帐户调出更多细节在这里我可以看到关于我保存的通行密钥的信息或向此帐户添加备注我也可以分享我的通行密钥这是我伙伴的手机我来选择它
现在我的伙伴也有了通行密钥
可以看出来到处都能用通行密钥多么容易我刚刚介绍了使用通行密钥的体验接下来说说什么是通行密钥以及使用通行密钥时的一些界面指南然后我将向您展示如何利用自动填充将通行密钥集成到您的 App 和网站中现有的登录流程中然后是一些额外的选项可以进一步简化您的登录过程接下来我将详细介绍密匙的工作原理最后讨论密匙和多因素身份验证首先通行密钥的设计说到通行密钥首先也是最重要的是通行密钥是密码的替代品登录速度更快使用起来更容易也更安全以下是有关如何在您的 App 和网站中使用通行密钥的指导方针 “Passkey” (通行密钥) 是一个通用的用户可见的术语本视频重点介绍 Apple 的实施但正如我刚才向开发者展示的其他主要平台已经开始建立自己对通行密钥的支持 “Passkey” (通行密钥) 也是个普通名词就像“密码”一样在英语中这个词是小写的并能像“密码”一样变成复数我的帐户有通行密钥可以去“设置” 查看我所有的帐户的通行密钥在 Apple 平台上您还可以使用 SF Symbol person.key.badge 和 .fill 变体来提供与系统一致的图标在您的 App 和网站中提供通行密钥时您不需要设计全新的界面用户名字段是目前大多数 App 和网站登录的中心点几乎每个人都知道如何使用许多 App 和网站已经利用通行密钥来定制每个帐户的登录体验现在用户名字段还有另一个大特点虽然通行密钥为登录工作带来了新的范式但摆脱密码的过渡也需要平稳和简单您现在可以使用自动填充作为一级特性来提供通行密钥让您可以将通行密钥直接放入现有的登录流中在熟悉且人们知道如何使用的界面中使用自动填充提供通行密钥是使用通行密钥的主要方式不过对于更高级的用户 Apple 平台也有很多额外的 UI 选项可以使用通行密钥登录接下来看一下如何开始使用通行密钥并使用自动填充显示通行密钥通行密钥是基于 WebAuthentication 构建的其又名 WebAuthn 标准并使用公钥加密每个帐户生成唯一的加密通行密钥对而不是使用可键入的字或字符串您需要在服务器后端采用 WebAuthn 来执行通行密钥登录任何标准的 WebAuthn 服务器实现应该使用通行密钥在 Apple 平台上的 App 中通行密钥是 AuthenticationServices 框架中的 ASAuthorization API 系列的一部分这是我们的 API 用于处理各种不同的凭证包括密码安全通行密钥和使用 Apple 登录我们还添加了一些您可以使用的新方法像自动填充支持使这个 API 更加灵活并让您无缝地将它融入到现有的登录流中要开始在您的 App 中使用通行密钥首先您需要使用 webcredentials 服务设置相关的域您可以在 “Introducing Password AutoFill for Apps”(App 密码自动填充介绍) 和“通用链接中的新功能” (What's new in Universal Links) 视频中了解更多细节在您的 App 界面中请确保您的用户名字段使用的是用户名 textContentTtype 这让系统知道在哪里提供通行密钥建议配置完成后下面是启动自动填充辅助通行密钥请求所需的代码分解时只需几个简单的步骤与任何 WebAuthn 请求一样您首先需要从服务器获取一个质询然后创建提供者和请求 ASAuthorizationPlatformPublicKeyCredentialProvider 是 ASAuthorizationProvider 用于处理通行密钥请求在 WebAuthn 术语中登录时使用断言所以在这里我创建一个断言请求来使用现有的通行密钥进行登录 ASAuthorizationController 是实际处理请求的内容使用通行密钥请求创建实例并配置它的委托和 presentationContextProvider 最后调用 performAutoFillAssistedRequests 开始请求当这个请求在 App 中运行时每当点击一个用户名字段时系统将在 QuickType 栏中提供可用的通行密钥确保在视图生命周期的早期在点击用户名字段之前启动这个请求这样当键盘出现时通行密钥就准备好了当 QuickType 栏中的一个项目被选中时面容 ID 被调用然后您会收到一个 ASAuthorizationController 委托回调来完成登录文本框中实际上不会填充内容当对任何凭据类型的授权成功时您将获得 didCompleteWithAuthorization 回调您首先应该检查您获得的凭证的类型在使用通行密钥登录的情况下它将是 ASAuthorizationPlatformPublicKeyCredentialAssertion 断言对象将包含在后端验证登录所需的字段您应该读这些值用服务器验证它们然后完成登录自动填充辅助通行密钥请求功能强大通过这个小小的代码更改您的 App 的登录流程现在有了很大的灵活性当然主要的情况是从 QuickType 栏中选择通行密钥建议以便使用通行密钥快速登录这是应该是最经常发生的情况不过还有其他选择我刚才向您展示的代码还允许从附近的设备进行通行密钥登录无需进行额外的更改您可以点击钥匙图标以调出视图列出所有可用的通行密钥和密码并点击使用附近设备登录的选项然后可以执行跨设备通行密钥登录在这两种情况下如果使用通行密钥您会收到相同的 ASAuthorizationController 委托回调要支持这个功能您不需要做什么特别的操作如果用户还没有通行密钥他们可以照旧使用您的登录表单他们将在 QuickType 栏中获得密码建议或直接在输入栏中输入密码如果选择了密码项则仍然会将凭据填写到文本字段中您可以取消正在运行的请求我们设计这个 API 是为了让您把它直接放到您现有的登录流中这对您的用户来说非常容易如果用户已经升级到使用通行密钥还是决定输入他们的用户名而不是使用自动填充建议您应该取消自动填充请求并使用 ASAuthorizationController 来呈现模式通行密钥登录表这里依旧只需要轻点一下您会收到相同的 ASAuthorizationController 委托回调这是之前的代码要从自动填充请求切换到模态请求只需将 performAutoFillAssistedRequests 方法调用与 performRequests() 调用交换这将显示一个包含所有可用通行密钥的模式表以及使用附近设备的通行密钥的选项这些是您需要在 App 中支持通行密钥的唯一代码更改网页平台还支持自动填充辅助和模态通行密钥请求在网页上通行密钥是通过标准的 WebAuthn API 使用的这个 API 也用于安全通行密钥就像在 App 中一样采用自动填充辅助请求功能只需触控 ID 即可快速登录获取所有可用的通行密钥和密码或者使用附近设备的通行密钥这些都只需要很少的代码首先确保在您的网页上以用户名和 webauthn 自动完成细节标记注释您的用户名字段以便在正确的位置显示密码和通行密钥建议完成后这是一个在 JavaScript 中典型的 WebAuthn 登录在 WebAuthn 中使用条件中介调用自动填充样式的请求您应该首先使用标准 JavaScript 特性检测来检查它是否可用如果可用您可以继续提出您的请求就像使用原生 API 一样首先使用从服务器获取的质询发起请求要使它成为自动填充辅助请求将 mediation: "conditional" 参数添加到选项中然后使用 navigator.credentials.get 启动请求 .get 调用返回一个承诺如果解析成功您将收到一个断言对象您可以将对象发送回服务器进行验证然后完成登录就像在 App 中如果有人手动输入一个带有通行密钥的帐户的用户名您应该使用 API 来呈现一个模态登录表要切换到模态请求您需要做的就是删除 mediation: "conditional" 参数使用 WebAuthn 时要注意的一件事是 Apple 平台如何处理用户验证简称 UV UV 是 WebAuthn 响应中的布尔字段表示验证者是否试图验证当前用户是设备的所有者在 Apple 设备上值 1 表示生物识别技术或使用的密码当生物识别技术可用时 Apple 平台将始终需要 UV 用于通行密钥所以您不必担心这一点当提出 WebAuthn 请求时有一个选项可以指定用户验证要求默认值为 userVerification: "preferred" 请始终使用默认值以避免在没有生物识别的设备上造成不良体验以下是在网页上使用通行密钥的一些附加说明当您提出自动填充辅助请求时您应该在页面生命周期的早期进行就像在 App 中一样对于模态 WebAuthn 请求您应该从用户手势事件比如点击按钮来触发它们模态请求可以在用户手势事件之外的每次页面加载触发一次但如果您这样做 WebKit 可能会限制页面的后续调用自动填充请求不是模态的所以它们不需要用户手势并且有更长的超时时间最后通行密钥正在取代 Safari 浏览器的传统平台验证器现有凭证仍然有效并且仍然绑定到创建它们的设备上但新的平台凭据将被创建为通行密钥在注册期间可以将它们与遗留凭证区分开来因为通行密钥不会提供认证声明以上是通行密钥和自动填充接下来我将介绍一些其他平台功能这可以进一步简化登录体验除了自动填充辅助的登录 ASAuthorization API 还提供了许多更有用的功能我将介绍这个 API 的三个附加功能以及何时需要使用它们首先来说说通行密钥允许列表当用户名输入后显示模态通行密钥表时设备上可能保存了多个帐户的通行密钥默认情况下所有可用的通行密钥都将显示在表单中您可以使用一个通行密钥允许列表来限制哪些通行密钥显示在工作表中以便只提供匹配的帐户要向模态请求添加允许列表首先需要用户名您可以使用该用户名获取匹配凭据 ID 的列表并将它转换为允许列表凭证 ID 是通行密钥的唯一标识符 Webauthn 服务器应该有一种方法来查找给定用户名的凭证 ID 接下来像以前一样继续您的请求现在设备上有三个使用通行密钥的 Shiny 帐户表单只提供了我想要使用的一个帐户发出模态请求时当您有关于用户试图用哪个帐户登录的附加场景时您应该使用允许列表例如用户是否已经输入了他们的用户名接下来我将介绍在当前设备上没有保存通行密钥的情况下发出模态通行密钥请求会发生什么这同样适用于当您使用允许列表而所保存的通行密钥与该列表不匹配的情况默认情况下当您发出模态通行密钥请求时如果没有匹配的可用通行密钥将显示模态表并会立即显示二维码用于从附近的设备使用通行密钥登录这在登录时提供了最大的灵活性并且当您知道正在使用通行密钥时这是最好的选择但 API 中有一个新选项可以优先选择可以选择立即可用的凭证并在没有凭证时使用委托回调静默回退这可以用于在可能的情况下甚至在显示传统的登录表单之前如果当前设备上没有匹配的通行密钥使用默认选项的模态请求将退回到显示二维码如果当前设备上没有匹配的通行密钥如果您使用 preferImmediatelyAvailableCredentials 选项您将获得一个带有错误的委托回调函数而不是二维码如果您收到 ASAuthorizationError 代码为 canceled 这意味着要么用户看到了这个表并手动取消了要么您传递了 preferImmediatelyAvailableCredentials 而没有立即可用的凭证要怎么做取决于您调用它的场景例如如果您使用此选项作为在显示正常登录表单之前测试本地凭据的一种方法那么这就是触发显示表单的地方如果设备上至少有一个匹配的凭据则将显示完整的模态表无论使用什么选项确保您也在使用自动填充辅助请求或模态请求在您的 App 中有默认的回退因此如果当前设备上没有通行密钥仍然可以使用通过手边的设备来登录的选项我要介绍 ASAuthorization API 的最后一个功能是发出组合凭证请求在本例中 App 提交了通行密钥、密码以及通过 Apple 登录的请求我的设备恰好保存了三个不同帐户的三个不同凭证都在表单里但更有可能的情况是用户只有一个帐户在这种情况下同样的组合凭证请求将只提供工作表中的一个帐户向现有的 ASAuthorization 请求添加额外的凭证类型非常容易您只需要为额外的请求类型创建提供程序和请求然后将这些新请求传递给控制器现在模态表将提供任何凭据从这些凭证类型中获得的任何凭证无论使用哪种凭据类型您都将获得相同的委托回调您应该检查接收到的凭据类型并根据该凭据类型完成登录这就涵盖了 ASAuthorization API 系列的一些更高级的特性现在我将深入探讨一些技术细节通行密钥工作原理以及通行密钥为何如此安全现在当您使用密码登录时通常情况下在您输入密码之后会被 hash 和 salt 以及由此产生的混淆值被发送到服务器得以储存稍后如果您可以生成相同的哈希加盐值则允许您进入帐户这意味着服务器负责存储您的密码来源这对攻击者非常有价值如果攻击者能获得他们就有可能知道您的密码是什么并访问您的帐户但是通行密钥的工作原理非常不同通行密钥不是单独的可输入字符串而是一对相关的通行密钥这些通行密钥由您的设备生成安全而唯一为每个帐户服务一个是公开的存储在服务器上另一个是私人的即使在登录时也会保留在您的设备上公钥不是私密的就像您的用户名一样公开私钥是实际登录所需要的服务器永远不会知道您的私钥是什么您的设备会保护它的安全当您登录时服务器会向您的设备发送一个一次性的质询 WebAuthn 会允许许多不同的质询-响应算法但 Apple 平台上的通行密钥使用标准 ES256 只有您的私钥才能为您的帐户质询产生有效的解决方案您的设备在本地生成这个解决方案叫做签名并且只将解决方案发送回服务器您的私钥是保密的并且只保存在您的设备上然后服务器使用您的公钥验证解决方案如果您的设备提供的解决方案有效您就登录了！公钥可用于检查解决方案是否有效但不能产生解决方案本身这意味着服务器可以确定您拥有正确的私钥而不需要知道私钥是什么而且由于服务器不知道任何私钥因此对攻击者来说这是一个价值较低的目标因为没有用户凭证可以泄露这些加密和通行密钥保护都是完全透明的并由设备执行您的客户不需要知道或思考通行密钥从他们的角度来看通行密钥超级简单可以随时随地使用通行密钥也可用于跨设备登录以安全、防网络钓鱼的方式登录工作原理如下这里有两个设备客户端也就是我登录的设备或网页浏览器以及身份验证器也就是拥有我的通行密钥的设备首先客户端显示一个二维码身份验证器扫描二维码此二维码包含一个 URL 这个 URL 编码了一对一次性使用的加密通行密钥然后身份认证器生成一个包含网络中继服务器路由信息的蓝牙广告这种本地交换允许选择服务器和共享路由信息但也有两个额外的功能它执行一个服务器看不到的带外通行密钥协议因此网络上的所有内容都是端到端加密的服务器无法读取任何内容它还有力地证明了这两种设备在物理上是接近的这意味着通过电子邮件发送的二维码或在虚假网站上生成的二维码将无法工作因为远程攻击者将无法接收到蓝牙广告并完成本地交换以上就是本地部分一旦本地交换和通行密钥协议发生两台设备连接到由手机选择的中继服务器然后执行一个标准的 FIDO CTAP 操作这是使用前面的通行密钥加密的所以中继服务器看不到任何进行中的过程
整个过程是由设备和网页浏览器执行的网站在任何时候都不涉及跨设备通信的过程跨设备跨平台登录是系统功能它可以在任何能够使用通行密钥的平台工作以上我们更专业地了解了通行密钥的工作原理通行密钥如何提供如此强大的安全保证甚至为何跨设备使用都如此安全接下来是多因素身份验证目前考虑身份验证的一种常见方法是使用因素不同的因素对不同类型的攻击有强弱之分结合因素可以提供更好的集体覆盖率但是有了通行密钥您就不需要这么考虑了以下是目前最常用的一些登录方法您光凭记忆设置的密码是很不可靠的密码管理器擅长生成独特的、高熵的字符串可能具有本地保护措施防止设备被盗并提供一些关于网络钓鱼的提示添加短信或实时验证码在某些情况下可以帮助防止盗窃或网络钓鱼但并不能真正解决这两个问题而有了通行密钥每个通行密钥都是唯一的由设备生成的通行密钥对在 Apple 设备上通行密钥是在本地设备保护的强大基础上设立的通行密钥还完全消除了网络钓鱼的人为因素并且通行密钥不会被 App 或网站服务器泄露因为服务器没有私钥在基于密码的登录流程中添加因素是有意义的因为与单独使用密码相比结合在一起可以抵御更多类型的攻击但单凭通行密钥就能抵御的东西太多了不需要额外的因素我很期待一个不再需要密码的未来以下是您可以开始实现这一目标的方法首先如果还没有采用 WebAuthn 您需要在服务器上采用它通行密钥应该可以用于任何标准的 WebAuthn 服务器的实施服务器准备就绪后在您的 App 和网站中采用我们的新 API 自动填充辅助通行密钥请求可以直接放到您现有的登录流程中此外如果您需要我们还有一系列更高级的 UI 选项最后帮助您的用户从密码转移到通行密钥通行密钥是行业标准的解决方案它能解决安全登录 App 和网站的便利性和安全性等问题通过引导您的用户使用通行密钥来替代密码您可以给用户带来非常快速和方便的登录体验同时为大家提高安全标准谢谢 ♪

{
    "webcredentials": {
        "apps": [ "A1B2C3D4E5.com.example.Shiny" ]
    }
}

11:47 - Annotating user name text field

override func viewDidLoad() {
    super.viewDidLoad()
    //Additional setup…

    userNameField.textContentType = .username
}

11:59 - AutoFill-assisted passkey sign in

// AutoFill-assisted passkey request

func signIn() {
    let challenge: Data = … // Fetched from server
    let provider =
        ASAuthorizationPlatformPublicKeyCredentialProvider(
            relyingPartyIdentifier: "example.com")
    let request =
        provider.createCredentialAssertionRequest(
            challenge: challenge)

    let controller =
        ASAuthorizationController(
            authorizationRequests: [request])
    controller.delegate = self
    controller.presentationContextProvider = self

    // Start the request
    controller.performAutoFillAssistedRequests()
}

13:29 - ASAuthorizationControllerDelegate callback

// Completing a passkey sign in

func authorizationController(controller: ASAuthorizationController,
     didCompleteWithAuthorization authorization: ASAuthorization) {
    
    guard let passkeyAssertion = authorization.credential as?
        ASAuthorizationPlatformPublicKeyCredentialAssertion
    else { … }

    let signature = passkeyAssertion.signature
    let clientDataJSON = passkeyAssertion.rawClientDataJSON

    // Pass these values to your server, and complete the sign in
…
}

16:05 - Modal passkey sign in

// Modal passkey request

func signIn() {
    let challenge: Data = … // Fetched from server
    let provider =      
        ASAuthorizationPlatformPublicKeyCredentialProvider(
            relyingPartyIdentifier: "example.com")
    let request = 
        provider.createCredentialAssertionRequest(
            challenge: challenge)
    
    let controller = 
        ASAuthorizationController(
            authorizationRequests: [request])
    controller.delegate = self
    controller.presentationContextProvider = self

    // Start the request
    controller.performRequests()
}

16:53 - HTML user name field annotation

<input type="text" id="username-field" autocomplete="username webauthn" >

17:09 - AutoFill-assisted passkey sign in on the web

// AutoFill-assisted WebAuthn request (JavaScript)

function signIn() {
    if (!PublicKeyCredential.isConditionalMediationAvailable ||
        !PublicKeyCredential.isConditionalMediationAvailable()) {
        // Browser doesn't support AutoFill-assisted requests.
        return;
    }

    const options = {
        "publicKey": {
            challenge: … // Fetched from server
        },
        mediation: "conditional"
    };

    navigator.credentials.get(options)
        .then(assertion => { 
            // Pass the assertion to your server.
        });
}

18:14 - Modal passkey sign in on the web

// Modal WebAuthn request (JavaScript)

function signIn() {
    var options = {
        "publicKey": {
            challenge: … // Fetched from server
        }
    };

    navigator.credentials.get(options)
        .then(function (assertion) { 
            // Pass the assertion to your server.
    });
}

20:55 - Modal passkey request with allow list

// Modal request with allow list

func signIn(userName: String) {
    let challenge: Data = … // Fetched from server
    let provider = ASAuthorizationPlatformPublicKeyCredentialProvider(
        relyingPartyIdentifier:"example.com")
    let request = provider.createCredentialAssertionRequest(
        challenge: challenge)

    let credentialIDs: [Data] = … // Fetched from server for provided userName
    request.allowedCredentials = credentialIDs.map(
        ASAuthorizationPlatformPublicKeyCredentialDescriptor.init(credentialID:))

    let controller = ASAuthorizationController(authorizationRequests: [request])
    controller.delegate = self
    controller.presentationContextProvider = self

    // Start the request
    controller.performRequests()
}

22:56 - Modal passkey request with silent fallback

// Modal passkey request, silent fallback

func signIn() {
    let challenge: Data = … // Fetched from server
    let provider = ASAuthorizationPlatformPublicKeyCredentialProvider(
        relyingPartyIdentifier:"example.com")
    let request = provider.createCredentialAssertionRequest(
        challenge: challenge)

    let controller = ASAuthorizationController(authorizationRequests: [request])
    controller.delegate = self
    controller.presentationContextProvider = self

    // Start the request
    controller.performRequests(options: .preferImmediatelyAvailableCredentials)
}

23:06 - Silent fallback delegate callback

// Handling a silent fallback
    
func authorizationController(controller: ASAuthorizationController, 
    didCompleteWithError error: Error) {
    
    guard let error = error as? ASAuthorizationError else { … }

    if error.code == .canceled {
        // Either the user canceled the sheet, or there were no credentials available.
        showSignInForm()
    }
}

24:40 - Combined credential request

// Combined credential modal request

func signIn() {
    let challenge: Data = … // Fetched from server
    let passkeyProvider = ASAuthorizationPlatformPublicKeyCredentialProvider(
        relyingPartyIdentifier:"example.com")
    let passkeyRequest = passkeyProvider.createCredentialAssertionRequest(
        challenge: challenge)

    let passwordRequest = ASAuthorizationPasswordProvider().createRequest()
    let signInWithAppleRequest = ASAuthorizationAppleIDProvider().createRequest()

    let controller = ASAuthorizationController(
        authorizationRequests: [passkeyRequest, passwordRequest, signInWithAppleRequest])
    controller.delegate = self
    controller.presentationContextProvider = self

    // Start the request
    controller.performRequests()
}

25:02 - Combined credential callback

// Completing a combined credential request

func authorizationController(controller: ASAuthorizationController, 
     didCompleteWithAuthorization authorization: ASAuthorization) {

    switch authorization.credential {
    case let passkeyAssertion as ASAuthorizationPlatformPublicKeyCredentialAssertion:
        finishSignIn(with: passkeyAssertion)

    case let signInWithAppleCredential as ASAuthorizationAppleIDCredential:
        finishSignIn(with: signInWithAppleCredential)

    case let passwordCredential as ASPasswordCredential:
        finishSignIn(with: passwordCredential)

    default:
        // Handle other credential types
        break
    }
}

正在查找特定内容？在上方输入一个主题，就能直接跳转到相应的精彩内容。

提交你查询的内容时出现错误。请检查互联网连接，然后再试一次。

资源

相关视频

WWDC23

WWDC22

WWDC20