HTML5不支持直接调用指纹传感器，必须通过Web Authentication API（navigator.credentials）在HTTPS环境下实现生物识别登录；仅为纯前端控件，无权访问硬件，浏览器沙箱机制禁止脚本读取指纹或触发传感器。
HTML5 本身不支持直接调用指纹传感器，navigator.credentials（Web Authentication API）才是实现指纹/生物识别登录的合法路径，且必须运行在 HTTPS 环境下。
为什么
密码输入框只是纯前端表单控件，没有任何权限访问设备生物识别硬件。浏览器出于安全隔离原则，禁止网页脚本直接读取指纹图像或触发传感器——这是操作系统和浏览器共同强制的沙箱限制。
-
的值始终由用户手动输入，无法被“绕过”或“自动填充”为生物特征 - 所谓“指纹登录”，本质是用 WebAuthn 替代密码验证环节，不是给密码框加个指纹图标
- 试图用 JavaScript 模拟点击、注入值、或监听 touchID 事件，全部无效且违反 CSP 或浏览器策略
WebAuthn 实现指纹登录的关键步骤
需后端配合生成挑战（challenge），前端调用 navigator.credentials.create() 或 navigator.credentials.get() 触发系统级生物识别弹窗。
- 注册阶段：用户首次绑定设备时，调用
navigator.credentials.create()，系统弹出指纹/面容验证 → 成功后返回公钥凭证（PublicKeyCredential），后端存下credential.id和publicKey - 登录阶段：后端下发新 challenge，前端用
navigator.credentials.get()请求已注册的凭证 → 用户指纹通过后，浏览器自动签名并返回响应，后端用对应公钥验签 - 必须确保
challenge是加密随机数（如crypto.getRandomValues()），且单次有效，防止重放 - 注意
allowCredentials列表要传入用户已注册的credential.id（base64url 编码），否则无法唤起已有设备的生物识别
常见失败原因与兼容性提醒
即使代码逻辑正确，仍可能卡在系统层弹窗不出现，多数因环境或配置不满足最低要求。
