W3C Web Cryptography API 规范

W3C Web Cryptography API 规范定义浏览器中 Crypto、SubtleCrypto、CryptoKey 以及加密、解密、签名、验证、摘要和密钥派生算法的接口与参数。它适合在实现 Web Crypto、核对算法名称和密钥用途、排查浏览器差异时作为标准资料。

规范描述的是 API 和算法接口，不是完整的账号认证、密钥分发、密钥轮换、恢复、撤销或数据备份方案。使用规范时仍要结合服务端协议、威胁模型、浏览器兼容性和经过审查的实现库；不能因为 generateKey() 成功就认为密钥已经安全保存，也不能把哈希 API 当成密码存储系统。

阅读具体算法时要核对输入编码、参数长度、IV 或 nonce 唯一性、密钥用途、可导出性和异常处理。规范中的算法支持并不保证所有浏览器、WebView、Worker 和硬件环境都一致，项目应在 HTTPS 安全上下文和目标设备上做能力检测与真实验证。

该规范和 W3C 仓库公开维护，可免费阅读和使用；它不提供商业密钥托管、身份服务、加密审计或恢复能力。正式项目应记录采用的规范版本、算法组合和密钥生命周期，并避免将原始密钥、密码和用户敏感数据写入日志或公开 HTML。