Dit registratieopties-verzoek is essentieel om WebAuthn-registratie veilig op te starten. Het vraagt de server om:
De browser moet opties voor het aanmaken van inloggegevens van de server ophalen om een veilige WebAuthn-inloggegevensregistratie te starten. Dit gebeurt doorgaans via een HTTPS POST-verzoek van de browser naar een servereindpunt (bijv. /sgcWebAuthn/Registration/Options), dat parameters voorbereidt zoals de uitdaging, de RP-ID en gebruikersinformatie.
De verzoekbody bevat gegevens die de gebruiker identificeren en mogelijk configuratievoorkeuren bieden. Het ziet er vaak als volgt uit:
{
"username": "alice@example.com",
"displayName": "Alice Smith",
"authenticatorSelection": {
"authenticatorAttachment": "platform", // optioneel: platform of cross-platform
"userVerification": "preferred" // optioneel: required | preferred | discouraged
},
"attestation": "none", // of "direct", "indirect"
"residentKey": "discouraged" // optioneel
}
Het WebAuthn Server-component luistert op het eindpunt geconfigureerd in de eigenschap EndpointOptions.RegistrationOptions voor het initiële browserverzoek om PublicKeyCredentialCreationOptions te verkrijgen. Wanneer de server een nieuw HTTP-verzoek ontvangt, wordt de gebeurtenis OnWebAuthnRegistrationOptionsRequest aangeroepen en kunt u het verzoek van de client raadplegen en het verzoek annuleren door de parameter Accept op False in te stellen.
procedure OnWebAuthnRegistrationOptionsRequest(Sender: TObject; const aRequest: TsgcWebAuthn_RegistrationOptions_Request; var Accept: Boolean);
begin
if aRequest.Username = 'anonymous' then
Accept := False;
end;