Chrome 支援 FedCM 的自動重新驗證機制
Federated Credential Management API (FedCM) 是用於隱私權保護身分聯盟的 Web API。使用身分聯盟時，RP (依賴方) 依賴 IdP (識別資訊提供者) 來提供使用者帳戶，而不需要求新的使用者名稱和密碼。
FedCM 可讓瀏覽器瞭解 RP 和 IdP 交換資訊時的狀況。這會通知使用者共用的資訊和權限層級，並防止意外遭到濫用。自 108 版起，Chrome 開始提供 FedCM。
在 Chrome 115 版中，FedCM 將支援自動重新驗證，藉此改善使用者體驗，並在初次同意後以更簡單的方式重新驗證 RP。
自動重新驗證
目前，使用者透過 FedCM API 使用 FedCM API 建立 RP 上的聯合帳戶後，下次造訪該網站時，就必須在使用者介面中完成相同的步驟。這表示使用者必須明確且手動重新確認，才能重新驗證並繼續進行登入流程。
雖然在使用者建立聯合帳戶防止追蹤 (FedCM 的主要目標之一) 之前，明確的使用者體驗才顯得合理，但在使用者完成一次授權後，這是非常麻煩的一點：在使用者授予 RP 和 IdP 之間的通訊權限後，使用者已明確同意執行 RP 與 IdP 之間的通訊，並不會對隱私權或安全性有所助益。因此，我們推出更精簡的使用者體驗，讓 RP 能夠為回訪者選擇更流暢的體驗。
透過 FedCM 自動重新驗證 (簡稱「auto-reauthn」) 可讓使用者在初次使用 FedCM 完成初始驗證後，自動重新驗證。此處的「初始驗證」是指使用者在同一個瀏覽器執行個體上首次輕觸 FedCM 登入對話方塊中的「Continue as...」按鈕，藉此建立帳戶或登入 RP 網站。
選擇自動重新驗證的選項
雖然我們推出自動重新驗證功能，藉此提供更優質的使用者體驗，並讓應用程式符合規格要求，但預設使用者體驗不會有任何程式碼變更。啟用自動重新驗證後，瀏覽器會根據開發人員在 navigator.credentials.get() 提供的 mediation 選項中選取的選項，變更其行為。
const cred = await navigator.credentials.get({
identity: {
providers: [{
configURL: "https://idp.example/fedcm.json",
clientId: "1234",
}],
},
mediation: 'optional', // this is the default
});
mediation 是 Credential Management API 中的屬性，其行為相同與 PasswordCredential 和 FederatedCredential 的運作方式相同，另外還有PublicKeyCredential 獲得部分支援。此屬性接受下列四個值：
'required'：一律要求中介服務才可繼續操作，例如按一下使用者介面上的「繼續」按鈕。如果使用者每次需要進行驗證時，都會明確授予權限，請選擇這個選項。'optional'(預設)：盡可能自動重新驗證；如果不是，則必須提供中介服務。建議您在登入頁面上選擇這個選項。'silent'：如果可能，自動重新驗證；如果沒有，則在不要求中介服務的情況下失敗。建議您在專屬登入頁面以外的其他頁面中選擇此選項，例如運送網站上的商品頁面或新聞網站的文章頁面。'conditional'：用於 WebAuthn，且目前不適用於 FedCM。
在此呼叫中，系統會在下列情況下自動重新驗證：
- 可以使用 FedCM。例如，使用者尚未全域停用 FedCM，或設定中未針對 RP 停用 FedCM。
- 使用者只使用一個具備 FedCM API 的帳戶，在這個瀏覽器中登入網站。
- 使用者已使用該帳戶登入 IdP。
- 過去 10 分鐘內未執行自動重新驗證。
- 上次登入後，RP 未呼叫
navigator.credentials.preventSilentAccess()。
當符合上述條件時，會嘗試在叫用 FedCM navigator.credentials.get() 後立即自動重新驗證使用者。
使用 preventSilentAccess() 強制執行中介服務
當使用者登出後立即進行自動重新驗證，並不會帶來良好的使用者體驗。這也是為什麼 FedCM 在自動重新驗證後會有一個 10 分鐘的靜止期，以防止這種行為發生。這表示自動重新驗證最多每 10 分鐘最多只會執行一次，除非使用者在 10 分鐘內重新登入。RP 應呼叫 navigator.credentials.preventSilentAccess() 並明確要求瀏覽器在使用者明確登出 RP 時 (例如點選登出按鈕) 停用自動重新驗證。
function signout() {
navigator.credentials.preventSilentAccess();
location.href = '/signout';
}
使用者可以在「設定」中停用自動重新驗證
使用者可以透過設定選單選擇不採用自動重新驗證功能：
- 在電腦版 Chrome 中，依序前往
chrome://password-manager/settings> 自動登入。 - 在 Android Chrome 中，依序開啟「設定」 >「密碼管理工具」 > 依序輕觸右上角的齒輪 >「自動登入」。
停用切換按鈕之後，使用者就能完全停用自動重新驗證行為。如果使用者已在 Chrome 執行個體上登入 Google 帳戶，且已啟用同步功能，這項設定就會儲存並同步到所有裝置。
提供意見
如果您測試的是 FedCM，可以在 crbug.com 的元件底下，透過 「Blink>Identity>FedCM」提供意見回饋或意見回饋。
Noah Samuel Franz 在 Unsplash 上提供的相片