本節說明如何安裝伺服器端 WebAuthn 驗證外掛程式。如需有關安裝外掛程式的一般資訊，請參閱第 7.6.1 節「安裝和解除安裝外掛程式」。

為了讓伺服器可以使用，外掛程式庫檔案必須位於 MySQL 外掛程式目錄中（由 plugin_dir 系統變數指定的目錄）。如有必要，請在伺服器啟動時設定 plugin_dir 的值，以設定外掛程式目錄的位置。

伺服器端外掛程式庫檔案的基本名稱為 authentication_webauthn。檔案名稱後綴會因平台而異（例如，Unix 和類 Unix 系統為 .so，Windows 為 .dll）。

在安裝伺服器端外掛程式之前，請為依賴方 ID (relying party ID) 定義一個唯一的名稱（用於裝置註冊和驗證），也就是 MySQL 伺服器。使用 --loose-authentication-webauthn-rp-id=value 選項啟動伺服器。此處的範例將 mysql.com 指定為依賴方 ID。請將此值替換為符合您需求的值。

$> mysqld [options] --loose-authentication-webauthn-rp-id=mysql.com

若要在伺服器啟動時定義依賴方並載入外掛程式，請使用 --plugin-load-add 選項來命名包含外掛程式的程式庫檔案，並根據您的平台調整 .so 後綴。使用此外掛程式載入方法，每次伺服器啟動時都必須提供此選項。

$> mysqld [options] 
    --loose-authentication-webauthn-rp-id=mysql.com
    --plugin-load-add=authentication_webauthn.so

若要定義依賴方並載入外掛程式，請在您的 my.cnf 檔案中放入如下的行，並根據您的平台調整 .so 後綴

[mysqld]
plugin-load-add=authentication_webauthn.so
authentication_webauthn_rp_id=mysql.com

修改 my.cnf 後，重新啟動伺服器以使新設定生效。

或者，若要在執行階段載入外掛程式，請使用以下陳述式，並根據您的平台調整 .so 後綴

INSTALL PLUGIN authentication_webauthn
  SONAME 'authentication_webauthn.so';

INSTALL PLUGIN 會立即載入外掛程式，並將其註冊到 mysql.plugins 系統表中，使伺服器在每次後續正常啟動時載入它，而無需 --plugin-load-add。

若要驗證外掛程式安裝，請檢查 Information Schema PLUGINS 表格，或使用 SHOW PLUGINS 陳述式（請參閱 第 7.6.2 節，「取得伺服器外掛程式資訊」）。例如

mysql> SELECT PLUGIN_NAME, PLUGIN_STATUS
       FROM INFORMATION_SCHEMA.PLUGINS
       WHERE PLUGIN_NAME = 'authentication_webauthn';
+-------------------------+---------------+
| PLUGIN_NAME             | PLUGIN_STATUS |
+-------------------------+---------------+
| authentication_webauthn | ACTIVE        |
+-------------------------+---------------+

如果外掛程式初始化失敗，請檢查伺服器錯誤記錄檔以取得診斷訊息。

若要將 MySQL 帳戶與 WebAuthn 驗證外掛程式建立關聯，請參閱使用 WebAuthn 驗證。

WebAuthn 驗證通常用於多因素驗證的情境中（請參閱 第 8.2.18 節，「多因素驗證」）。本節說明如何使用 authentication_webauthn 外掛程式將基於 WebAuthn 裝置的驗證納入多因素帳戶中。

以下討論假設伺服器正在執行已啟用伺服器端 WebAuthn 驗證外掛程式的情況，如 安裝 WebAuthn 可插拔驗證所述，並且用戶端 WebAuthn 外掛程式在用戶端主機上的外掛程式目錄中可用。

此外，假設 WebAuthn 驗證與非 WebAuthn 驗證結合使用（這表示 2FA 或 3FA 帳戶）。WebAuthn 也可以單獨使用，以建立以無密碼方式驗證的 1FA 帳戶。在這種情況下，設定程序會略有不同。如需指示，請參閱 WebAuthn 無密碼驗證。

設定為使用 authentication_webauthn 外掛程式的帳戶會與 Fast Identity Online (FIDO/FIDO2) 裝置建立關聯。因此，在執行 WebAuthn 驗證之前，需要執行一次性的裝置註冊步驟。裝置註冊程序具有以下特性

假設您希望帳戶先使用 caching_sha2_password 外掛程式進行驗證，然後使用 authentication_webauthn 外掛程式進行驗證。請使用如下的陳述式建立多因素帳戶

CREATE USER 'u2'@'localhost'
  IDENTIFIED WITH caching_sha2_password
    BY 'sha2_password'
  AND IDENTIFIED WITH authentication_webauthn;

若要連線，請提供因素 1 密碼以滿足該因素的驗證，並啟動 FIDO/FIDO2 裝置的註冊，請將 --register-factor 設定為因素 2。

$> mysql --user=u2 --password1 --register-factor=2
Enter password: (enter factor 1 password)
Please insert FIDO device and follow the instruction. Depending on the device, 
you may have to perform gesture action multiple times.
1. Perform gesture action (Skip this step if you are prompted to enter device PIN).
2. Enter PIN for token device:
3. Perform gesture action for registration to complete.
Welcome to the MySQL monitor.  Commands end with ; or \g.
Your MySQL connection id is 8

在接受因素 1 密碼後，用戶端工作階段會進入沙箱模式，以便可以執行因素 2 的裝置註冊。在註冊期間，系統會提示您執行適當的 FIDO/FIDO2 裝置動作，例如觸碰裝置或執行生物識別掃描。

或者，您可以叫用 mysql 用戶端程式，並指定 --plugin-authentication-webauthn-client-preserve-privacy 選項。如果 FIDO2 裝置針對指定的依賴方 (RP) ID 包含多個可探索的認證（常駐金鑰），則此選項允許選擇要用於判斷提示的金鑰。依預設，此選項設定為 FALSE，表示應使用指定 RP ID 的所有常駐金鑰建立判斷提示。當使用此選項指定時，mysql 會提示您輸入裝置 PIN，並列出指定 RP ID 的所有可用認證。選取一個金鑰，然後執行其餘的線上指示以完成驗證。此處的範例假設 mysql.com 是有效的 RP ID

$> mysql --user=u2 --password1 --register-factor=2
     --plugin-authentication-webauthn-client-preserve-privacy
Enter password: (enter factor 1 password)
Enter PIN for token device: 
Found following credentials for RP ID: mysql.com
[1]`u2`@`127.0.0.1`
[2]`u2`@`%`
Please select one(1...N):
1
Please insert FIDO device and perform gesture action for authentication to complete.
+----------------+
| CURRENT_USER() |
+----------------+
| u2@127.0.0.1   |
+----------------+

--plugin-authentication-webauthn-client-preserve-privacy 選項對不支援常駐金鑰功能的 FIDO 裝置沒有影響。

當註冊程序完成後，允許連線到伺服器。

本節說明如何單獨使用 WebAuthn 來建立以無密碼方式驗證的 1FA 帳戶。在此情境中，「無密碼」表示驗證會發生，但使用密碼以外的方法，例如安全金鑰或生物識別掃描。這不是指使用基於密碼的驗證外掛程式（密碼為空）的帳戶。那種「無密碼」完全不安全，因此不建議使用。

使用 authentication_webauthn 外掛程式來實現無密碼驗證時，適用以下先決條件

若要使用 authentication_webauthn 作為無密碼驗證方法，必須使用 authentication_webauthn 作為第一個因素驗證方法來建立帳戶。也必須為第一個因素指定 INITIAL AUTHENTICATION IDENTIFIED BY 子句（第二或第三個因素不支援此子句）。此子句指定是否將隨機產生的密碼或使用者指定的密碼用於 FIDO/FIDO2 裝置註冊。裝置註冊後，伺服器會刪除密碼並修改帳戶，使 authentication_webauthn 成為唯一的驗證方法（1FA 方法）。

所需的 CREATE USER 語法如下

CREATE USER user
  IDENTIFIED WITH authentication_webauthn
  INITIAL AUTHENTICATION IDENTIFIED BY {RANDOM PASSWORD | 'auth_string'};

以下範例使用 RANDOM PASSWORD 語法

mysql> CREATE USER 'u1'@'localhost'
         IDENTIFIED WITH authentication_webauthn
         INITIAL AUTHENTICATION IDENTIFIED BY RANDOM PASSWORD;
+------+-----------+----------------------+-------------+
| user | host      | generated password   | auth_factor |
+------+-----------+----------------------+-------------+
| u1   | localhost | 9XHK]M{l2rnD;VXyHzeF |           1 |
+------+-----------+----------------------+-------------+

若要執行註冊，使用者必須使用與 INITIAL AUTHENTICATION IDENTIFIED BY 子句相關聯的密碼（隨機產生的密碼或 'auth_string' 值）向伺服器進行驗證。如果帳戶是按照剛才顯示的方式建立的，使用者會執行此命令並在提示符號中貼上先前隨機產生的密碼（9XHK]M{l2rnD;VXyHzeF）

$> mysql --user=u1 --password --register-factor=2
Enter password:
Please insert FIDO device and follow the instruction. Depending on the device, 
you may have to perform gesture action multiple times.
1. Perform gesture action (Skip this step if you are prompted to enter device PIN).
2. Enter PIN for token device:
3. Perform gesture action for registration to complete.
Welcome to the MySQL monitor.  Commands end with ; or \g.
Your MySQL connection id is 10

或者，使用 --plugin-authentication-webauthn-client-preserve-privacy 選項來選擇可探索的認證進行驗證。

$> mysql --user=u1 --password --register-factor=2
     --plugin-authentication-webauthn-client-preserve-privacy
Enter password:
Enter PIN for token device: 
Found following credentials for RP ID: mysql.com
[1]`u1`@`127.0.0.1`
[2]`u1`@`%`
Please select one(1...N):
1
Please insert FIDO device and perform gesture action for authentication to complete.
+----------------+
| CURRENT_USER() |
+----------------+
| u1@127.0.0.1   |
+----------------+

使用選項 --register-factor=2，因為 INITIAL AUTHENTICATION IDENTIFIED BY 子句目前充當第一個因素驗證方法。因此，使用者必須使用第二個因素提供臨時密碼。成功註冊後，伺服器會移除臨時密碼，並修改 mysql.user 系統表中的帳戶條目，將 authentication_webauthn 列為唯一的 (1FA) 驗證方法。

建立無密碼驗證帳戶時，請務必在 CREATE USER 陳述式中包含 INITIAL AUTHENTICATION IDENTIFIED BY 子句。伺服器接受沒有此子句的陳述式，但產生的帳戶無法使用，因為沒有任何方法可以連線到伺服器來註冊裝置。假設您執行如下的陳述式

CREATE USER 'u2'@'localhost'
  IDENTIFIED WITH authentication_webauthn;

後續使用帳戶連線的嘗試會失敗，如下所示

$> mysql --user=u2 --skip-password
mysql: [Warning] Using a password on the command line can be insecure.
No FIDO device on client host.
ERROR 1 (HY000): Unknown MySQL error

可以取消註冊與 MySQL 帳戶相關聯的 FIDO/FIDO2 裝置。在多種情況下，這可能是可取的或必要的

取消註冊 FIDO/FIDO2 裝置可以由帳戶擁有者或任何具有 CREATE USER 權限的使用者完成。使用此語法

ALTER USER user {2 | 3} FACTOR UNREGISTER;

若要重新註冊裝置或執行新的註冊，請參閱 使用 WebAuthn 驗證中的指示。

本節概述 MySQL 和 WebAuthn 如何協同工作來驗證 MySQL 使用者。如需顯示如何設定 MySQL 帳戶以使用 WebAuthn 驗證外掛程式的範例，請參閱 使用 WebAuthn 驗證。

使用 WebAuthn 驗證的帳戶必須先執行初始裝置註冊步驟，然後才能連線到伺服器。裝置註冊後，即可繼續進行驗證。WebAuthn 裝置註冊程序如下：

成功執行註冊後，WebAuthn 驗證會遵循此程序：