KeePassXC浏览器扩展中Passkeys认证响应的非法调用问题分析

问题背景

在KeePassXC浏览器扩展的Passkeys功能实现中，当用户尝试调用认证响应对象(AuthenticatorAttestationResponse)的getPublicKey或getPublicKeyAlgorithm方法时，会遇到"非法调用"(Illegal Invocation)的错误。这个问题源于扩展对WebAuthn标准接口的实现方式存在缺陷。

技术原理

WebAuthn标准定义了AuthenticatorAttestationResponse接口，该接口包含几个关键方法：

• getAuthenticatorData(): 获取认证器数据
• getPublicKey(): 获取新凭证的DER格式SubjectPublicKeyInfo
• getPublicKeyAlgorithm(): 获取公钥算法标识符
• getTransports(): 获取支持的传输方式

在KeePassXC的实现中，通过原型继承的方式将这些方法附加到响应对象上，但未正确处理某些方法的调用情况。

问题根源

当前实现存在两个主要问题：

1. 原型继承的副作用：通过Object.setPrototypeOf将响应对象原型设置为AuthenticatorAttestationResponse.prototype，导致所有标准方法都成为可调用状态，即使扩展并未实现这些方法。

2. 方法未实现：虽然getPublicKey和getPublicKeyAlgorithm方法在原型链上可见，但KeePassXC并未实际提供这些方法的实现，导致调用时抛出非法调用异常。

解决方案

正确的修复方式应该是在创建响应对象时显式处理这些方法：

1. 移除未实现的方法：通过将这些方法显式设置为undefined，可以避免非法调用错误。

2. 仅保留实现的方法：明确只保留实际实现的getAuthenticatorData和getTransports方法。

3. 保持标准兼容性：虽然移除了未实现的方法，但仍保持对象原型链，确保其他WebAuthn功能正常工作。

实现建议

修改后的createAttestationResponse函数应如下处理：

const createAttestationResponse = function(publicKey) {
    const response = {
        attestationObject: kpxcBase64ToArrayBuffer(publicKey.response.attestationObject),
        clientDataJSON: kpxcBase64ToArrayBuffer(publicKey.response.clientDataJSON),
        getAuthenticatorData: () => kpxcBase64ToArrayBuffer(publicKey.response?.authenticatorData),
        getTransports: () => [ 'internal' ]
    };

    // 设置原型链但移除未实现的方法
    const responseWithProto = Object.setPrototypeOf(response, AuthenticatorAttestationResponse.prototype);
    responseWithProto.getPublicKey = undefined;
    responseWithProto.getPublicKeyAlgorithm = undefined;

    return responseWithProto;
};

对用户体验的影响

这个修复将带来以下改进：

1. 更好的错误处理：用户代码可以安全地检查方法是否存在，而不会意外触发异常。

2. 更符合预期行为：未实现的方法将明确返回undefined，而不是抛出意外错误。

3. 保持向后兼容：现有依赖这些方法的代码可以安全地进行存在性检查。

总结

正确处理WebAuthn标准接口的实现细节对于密码管理器的可靠性至关重要。通过显式处理未实现的方法而非依赖原型继承，KeePassXC可以提供更稳定、更可预测的Passkeys功能体验。这种修复方式既解决了当前的非法调用问题，又为未来可能的完整接口实现预留了空间。