本节描述了如何安装服务器端 WebAuthn 身份验证插件。有关插件安装的常规信息，请参阅 第 7.6.1 节，“安装和卸载插件”。

要使插件库文件可供服务器使用，必须将其位于 MySQL 插件目录中（由 plugin_dir 系统变量命名的目录）。如果必要，通过在服务器启动时设置 plugin_dir 的值来配置插件目录的位置。

服务器端插件库文件的基本名称是 authentication_webauthn。文件名后缀因平台而异（例如，Unix 和 Unix-like 系统的 .so，Windows 的 .dll）。

在安装服务器端插件之前，定义一个唯一的依赖方 ID（用于设备注册和身份验证），即 MySQL 服务器。使用 --loose-authentication-webauthn-rp-id=value 选项启动服务器。这里的示例指定了 mysql.com 作为依赖方 ID。请将其替换为满足您要求的值。

$> mysqld [options] --loose-authentication-webauthn-rp-id=mysql.com

要定义依赖方和在服务器启动时加载插件，使用 --plugin-load-add 选项来命名包含它的库文件，根据平台调整 .so 后缀。使用这种插件加载方法，每次服务器启动时都需要给出该选项。

$> mysqld [options] 
    --loose-authentication-webauthn-rp-id=mysql.com
    --plugin-load-add=authentication_webauthn.so

要定义依赖方和加载插件，将以下行添加到 my.cnf 文件中，根据平台调整 .so 后缀：

[mysqld]
plugin-load-add=authentication_webauthn.so
authentication_webauthn_rp_id=mysql.com

修改 my.cnf 后，重新启动服务器以使新设置生效。

或者，要在运行时加载插件，使用以下语句，根据平台调整 .so 后缀：

INSTALL PLUGIN authentication_webauthn
  SONAME 'authentication_webauthn.so';

INSTALL PLUGIN 立即加载插件，并在 mysql.plugins 系统表中注册它，以便服务器在每次正常启动时加载它，而不需要 --plugin-load-add。

要验证插件安装，请检查 Information Schema PLUGINS 表或使用 SHOW PLUGINS 语句（见 第 7.6.2 节，“获取服务器插件信息”）。例如：

mysql> SELECT PLUGIN_NAME, PLUGIN_STATUS
       FROM INFORMATION_SCHEMA.PLUGINS
       WHERE PLUGIN_NAME = 'authentication_webauthn';
+-------------------------+---------------+
| PLUGIN_NAME             | PLUGIN_STATUS |
+-------------------------+---------------+
| authentication_webauthn | ACTIVE        |
+-------------------------+---------------+

如果插件无法初始化，请检查服务器错误日志以获取诊断信息。

要将 MySQL 帐户与 WebAuthn 身份验证插件关联，请参阅 使用 WebAuthn 身份验证。

WebAuthn 身份验证通常在多因素身份验证（见 第 8.2.18 节，“多因素身份验证”）中使用。本节展示如何将 WebAuthn 设备基于身份验证集成到多因素帐户中，使用 authentication_webauthn 插件。

假设服务器正在运行启用了服务器端 WebAuthn 身份验证插件，如 安装 WebAuthn 可插拔身份验证 中所述，并且客户端 WebAuthn 插件在客户端主机的插件目录中可用。

还假设 WebAuthn 身份验证与非 WebAuthn 身份验证（这意味着 2FA 或 3FA 帐户）一起使用。WebAuthn 也可以单独用于创建 1FA 帐户，以 passwordless 方式进行身份验证。在这种情况下，设置过程略有不同。有关说明，请参阅 WebAuthn 无密码身份验证。

使用 authentication_webauthn 插件配置的帐户将与 Fast Identity Online (FIDO/FIDO2) 设备关联，因此在 WebAuthn 身份验证之前需要进行一次设备注册步骤。设备注册过程具有以下特征：

假设您想让帐户首先使用 caching_sha2_password 插件，然后使用 authentication_webauthn 插件。使用类似以下语句创建多因素帐户：

CREATE USER 'u2'@'localhost'
  IDENTIFIED WITH caching_sha2_password
    BY 'sha2_password'
  AND IDENTIFIED WITH authentication_webauthn;

要连接，提供因子 1 密码以满足身份验证，然后设置 --register-factor 为因子 2，以启动 FIDO/FIDO2 设备的注册。

$> mysql --user=u2 --password1 --register-factor=2
Enter password: (enter factor 1 password)
Please insert FIDO device and follow the instruction. Depending on the device, 
you may have to perform gesture action multiple times.
1. Perform gesture action (Skip this step if you are prompted to enter device PIN).
2. Enter PIN for token device:
3. Perform gesture action for registration to complete.
Welcome to the MySQL monitor.  Commands end with ; or \g.
Your MySQL connection id is 8

在因子 1 密码被接受后，客户端会话将进入沙盒模式，以便可以执行因子 2 的设备注册。在注册期间，您将被提示执行适当的 FIDO/FIDO2 设备操作，例如触摸设备或执行生物识别扫描。

可选地，您可以调用 mysql 客户端程序并指定 --plugin-authentication-webauthn-client-preserve-privacy 选项。如果 FIDO2 设备包含多个可发现的凭证（resident keys）用于给定的 RP ID，则该选项允许选择用于断言的密钥。默认情况下，该选项设置为 FALSE，表示断言将使用给定 RP ID 的所有resident keys 创建。当指定该选项时，mysql 将提示您输入设备 PIN 并列出给定 RP ID 的所有可用凭证。选择一个密钥，然后按照在线说明完成身份验证。以下示例假设 mysql.com 是一个有效的 RP ID：

$> mysql --user=u2 --password1 --register-factor=2
     --plugin-authentication-webauthn-client-preserve-privacy
Enter password: (enter factor 1 password)
Enter PIN for token device: 
Found following credentials for RP ID: mysql.com
[1]`u2`@`127.0.0.1`
[2]`u2`@`%`
Please select one(1...N):
1
Please insert FIDO device and perform gesture action for authentication to complete.
+----------------+
| CURRENT_USER() |
+----------------+
| u2@127.0.0.1   |
+----------------+

--plugin-authentication-webauthn-client-preserve-privacy 选项对不支持resident-key 功能的 FIDO 设备没有影响。

注册过程完成后，服务器连接将被允许。

本节描述了如何使用 WebAuthn 创建 1FA 帐户，以便在无密码方式下进行身份验证。在这种情况下，“无密码” 表示身份验证发生，但使用的是安全密钥或生物识别扫描等方法，而不是密码。它不指的是使用密码基于身份验证插件的帐户，其中密码为空。这类 “无密码” 是完全不安全的，不建议使用。

使用 authentication_webauthn 插件实现无密码身份验证时，以下先决条件适用：

要使用 authentication_webauthn 作为无密码身份验证方法，帐户必须以 authentication_webauthn 作为第一因素身份验证方法。还必须指定 INITIAL AUTHENTICATION IDENTIFIED BY 子句（它不支持 2nd 或 3rd 因素）。该子句指定了是否使用随机生成或用户指定的密码来注册 FIDO/FIDO2 设备。设备注册后，服务器将删除密码并将帐户修改为使 authentication_webauthn 成为唯一的身份验证方法（1FA 方法）。

所需的 CREATE USER 语法如下：

CREATE USER user
  IDENTIFIED WITH authentication_webauthn
  INITIAL AUTHENTICATION IDENTIFIED BY {RANDOM PASSWORD | 'auth_string'};

以下示例使用 RANDOM PASSWORD 语法：

mysql> CREATE USER 'u1'@'localhost'
         IDENTIFIED WITH authentication_webauthn
         INITIAL AUTHENTICATION IDENTIFIED BY RANDOM PASSWORD;
+------+-----------+----------------------+-------------+
| user | host      | generated password   | auth_factor |
+------+-----------+----------------------+-------------+
| u1   | localhost | 9XHK]M{l2rnD;VXyHzeF |           1 |
+------+-----------+----------------------+-------------+

要执行注册，用户必须使用与INITIAL AUTHENTICATION IDENTIFIED BY子句关联的密码对服务器进行身份验证，或者是随机生成的密码，或者是'auth_string'值。如果账户是按照上面所示创建的，用户执行该命令并在提示符下粘贴随机生成的密码（9XHK]M{l2rnD;VXyHzeF）：

$> mysql --user=u1 --password --register-factor=2
Enter password:
Please insert FIDO device and follow the instruction. Depending on the device, 
you may have to perform gesture action multiple times.
1. Perform gesture action (Skip this step if you are prompted to enter device PIN).
2. Enter PIN for token device:
3. Perform gesture action for registration to complete.
Welcome to the MySQL monitor.  Commands end with ; or \g.
Your MySQL connection id is 10

或者，使用--plugin-authentication-webauthn-client-preserve-privacy选项选择可发现的凭证以进行身份验证。

$> mysql --user=u1 --password --register-factor=2
     --plugin-authentication-webauthn-client-preserve-privacy
Enter password:
Enter PIN for token device: 
Found following credentials for RP ID: mysql.com
[1]`u1`@`127.0.0.1`
[2]`u1`@`%`
Please select one(1...N):
1
Please insert FIDO device and perform gesture action for authentication to complete.
+----------------+
| CURRENT_USER() |
+----------------+
| u1@127.0.0.1   |
+----------------+

选项--register-factor=2用于，因为INITIAL AUTHENTICATION IDENTIFIED BY子句当前正在作为第一因素身份验证方法。因此，用户必须提供临时密码，以使用第二因素。成功注册后，服务器将删除临时密码，并在mysql.user系统表中修订账户条目，以列出authentication_webauthn作为唯一的（1FA）身份验证方法。

创建无密码身份验证账户时，重要的是在CREATE USER语句中包括INITIAL AUTHENTICATION IDENTIFIED BY子句。服务器接受没有该子句的语句，但结果账户是不可用的，因为没有办法连接到服务器以注册设备。假设您执行以下语句：

CREATE USER 'u2'@'localhost'
  IDENTIFIED WITH authentication_webauthn;

随后尝试使用账户连接失败，如下所示：

$> mysql --user=u2 --skip-password
mysql: [Warning] Using a password on the command line can be insecure.
No FIDO device on client host.
ERROR 1 (HY000): Unknown MySQL error

可以取消与 MySQL 账户关联的 FIDO/FIDO2 设备的注册。这可能在多种情况下是必要的：

取消 FIDO/FIDO2 设备的注册可以由账户所有者或拥有CREATE USER特权的用户执行。使用以下语法：

ALTER USER user {2 | 3} FACTOR UNREGISTER;

要重新注册设备或执行新的注册，请参阅使用 WebAuthn 身份验证中的说明。

本节概述了 MySQL 和 WebAuthn 如何共同身份验证 MySQL 用户。有关设置 MySQL 账户以使用 WebAuthn 身份验证插件的示例，请参阅使用 WebAuthn 身份验证。

使用 WebAuthn 身份验证的账户必须在连接到服务器之前执行初始设备注册步骤。设备注册后，身份验证可以继续。WebAuthn 设备注册过程如下：

注册成功后，WebAuthn身份验证遵循以下过程：

WebAuthn可插拔身份验证支持FIDO和FIDO2设备。跨版本兼容性在设备注册期间如下所示：