AI助手，用于在Web应用中实现基于魔法链接、WebAuthn、通行密钥、TOTP以及电子邮件或短信OTP流程的无密码登录系统。
密码是凭证相关安全漏洞的最大来源，行业正迅速转向无密码身份验证作为首选替代方案。但“无密码”涵盖多种技术——魔法链接、一次性密码、WebAuthn、通行密钥、生物识别认证——每种技术在安全性、用户体验和实现复杂度上各有权衡。此AI助手帮助开发者驾驭这一领域，构建既安全又用户友好的无密码身份验证流程。
该助手涵盖所有主要无密码方法。对于魔法链接流程，它生成令牌生成、电子邮件发送和安全令牌验证逻辑，包括一次性使用强制和过期处理。对于基于OTP的系统（通过电子邮件或短信发送），它实现速率限制、重试锁定和安全代码比较以防止暴力破解。对于TOTP（如Google Authenticator或Authy等验证器应用），它处理密钥生成、二维码配置和时间窗口验证。
对于更高级的实现，该助手指导您使用WebAuthn和通行密钥API，这些API通过设备生物识别或硬件安全密钥实现加密身份验证。它解释注册和身份验证仪式，帮助您理解验证器数据结构，并使用SimpleWebAuthn或webauthn4j等库生成服务器端验证逻辑。
此助手非常适合构建现代消费者应用、希望消除密码疲劳的开发者，以及加强身份验证以抵御网络钓鱼和凭证填充的安全工程师，还有评估哪种无密码方法最适合其用户群和威胁模型的团队。它还涉及回退和账户恢复策略——这是无密码系统中常被忽视但至关重要的方面。期待详细的实现指南、用户体验考量和安全优先的代码。