Universal 2nd Factor (U2F) 概述（5）-用户提醒：设备“激活”和浏览器提示

一般U2F设备上都有物理的确认用户存在元件（比如一个按键或者其他类型的传感器等），用户通过这个物理元件去激活U2F设备进入以下的工作流程：

注册：当设备已经被激活，U2F设备会反馈一个请求去生成一组秘钥对。当然，浏览器会先弹出提示用户是否允许此设备的注册提示，只有在用户同意的情况下，浏览器才会调用U2F JavaScript API去要求U2F 设备生成秘钥对。

认证：在认证的过程中，浏览器会下发一些需要设备签名的数据到设备中。当然签名之前此设备需要被用户使用物理元件进行确认，比如按压设备的确认按键。主要是确保此签名是在用户的允许下操作的，同时也防止了恶意软件在用户为确认的状态下进行自动签名。
当用户尝试第一次去认证特定的源网站时（U2F JavaScript会调用“Get me a signature from the U2F device”），浏览器可以弹出是否允许调用设备进行认证的提示内容，当然浏览器也可以提供“记住设置”的选项，方便用户下次进行认证是不必再选择了。这个设置也可以在浏览器设置中取消。

总结来说，用户需要触碰按键进行注册，浏览器也会有相应提示。依赖方可在流程中加入这些操作的步骤提示来引导用户。注册是非常有价值的操作过程：它给源网站输出了强认证用户的一种能力，所以必须要认真对待。认证过程中（即线上服务或网站要进行用户认证签名时），用户需要激活设备进行签名。从1.2版本开始，可以在没有用户的情况下请求设备签名。签名清楚地表明它是在没有用户在场的情况下做出的，因此必须由在线服务或网站进行处理。