指纹识别失败后应区分原因：用户取消不重试，系统不支持则禁用入口，仅临时异常可限次重试；需加状态锁防重复、给明确提示、保留备用登录方式，并坚持服务端严格校验。
指纹识别比对失败后重试，关键不是盲目重复调用 API，而是要区分失败原因、控制重试节奏、避免用户误操作，并做好降级兜底。
识别失败类型要分清楚
Web Authentication API（navigator.credentials.get()）触发指纹识别后，拒绝原因可能完全不同：
- 用户主动取消：比如点“取消”或切出弹窗，此时 Promise reject 带 `AbortError` 或 `NotAllowedError`，不应自动重试，应提示用户并等待手动触发
- 系统无可用认证器：如设备不支持、未开启生物识别、没录入指纹，错误通常是 `NotSupportedError` 或 `SecurityError`，这类需前端判断后禁用指纹入口，引导用户换方式
- 超时或临时异常：如 `UnknownError` 或网络短暂抖动（虽少见），可有限重试（建议最多 1–2 次），间隔 800ms 以上，避免连续弹窗干扰
重试逻辑要加防抖和状态锁
用户快速连点“指纹登录”按钮，若每次点击都发起新请求，会导致多个弹窗叠加、Promise 混乱。正确做法是：
- 用布尔标志位（如
isVerifying = true）锁定验证流程，点击后立即置为true，成功或失败后才设回false - 重试动作必须由明确用户行为触发（例如显示“重试”按钮），不自动执行；若要自动重试，仅限首次失败且确认是临时性错误时，且只试一次
- 在 UI 上禁用按钮 + 显示加载态，防止重复提交
给用户清晰的反馈和替代路径
比对失败时，直接报“验证失败”会让用户困惑。应结合错误类型给出具体提示：
- “您取消了验证，请重新点击指纹图标继续”（对应
AbortError） - “当前设备暂不支持指纹识别，试试密码登录？”（对应
NotSupportedError） - “识别稍慢，已为您重试一次 → 若仍不行，请切换其他方式”（仅对可重试场景）
同时始终保留备用登录入口（如账号密码、短信验证码），不能让指纹成为唯一通路。
服务端也要配合校验与容错
前端重试只是体验优化，真正安全边界在服务端：
- 每次调用 WebAuthn 登录，后端必须验证 assertion 的签名、challenge 是否匹配、credential ID 是否合法且未被撤销
- 对同一 credential ID 短时间内高频失败（如 3 次/分钟），服务端可临时限流或要求二次验证，防暴力试探
- 不要因前端重试就放宽服务端校验逻辑——重试 ≠ 降低安全水位
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
