Passkey（通行密钥）

Passkey（通行密钥）是一种取代传统密码的登录凭据，基于 W3C 发布的 WebAuthn（Web Authentication）标准与 FIDO2 规范，通过公钥加密和数字签名验证用户身份，登录时只需用指纹、面容识别或设备 PIN 码确认即可。

概述

传统密码的问题由来已久：容易被猜解、被钓鱼网站骗走，网站数据库一旦泄露还会引发撞库攻击。Passkey 的思路是彻底不用「共享秘密」——注册时设备为该网站生成一对密钥，公钥交给网站保存，私钥留在手机或电脑本地；登录时设备用私钥对网站发来的随机挑战进行签名，网站用公钥验证签名即可确认身份，全程不传输任何可被窃取复用的口令。

这套机制由 FIDO 联盟与 W3C 共同推动，苹果、谷歌、微软等厂商在 2020 年代初开始大规模落地：通行密钥可通过 iCloud 钥匙串、Google 密码管理器等在同一账号体系的设备间加密同步，也能用手机扫码为附近的电脑完成跨设备登录。目前谷歌、微软、GitHub、支付宝、淘宝等大量国内外服务已支持 Passkey 登录。

主要特点

• 无需记忆密码：验证动作就是解锁设备本身，如指纹、面容或锁屏密码。
• 天然防钓鱼：通行密钥与网站域名绑定，仿冒网站无法触发正确的凭据，也骗不走任何口令。
• 私钥不出设备：网站只保存公钥，即使服务器被入侵也拿不到可用的登录凭据。
• 体验更快：一次生物识别即可完成登录，通常比「密码 + 短信验证码」更省事。
• 跨设备可用:支持云端同步和扫码授权,换设备或临时在他人电脑上也能登录。

与两步验证的区别

两步验证（2FA）是在密码之外再加一道关卡，密码本身仍可能被钓鱼或泄露；而 Passkey 直接取消了密码这一环节，签名验证天然包含「持有设备 + 本人解锁」双重因素，安全性和便利性都更进一步。不过实践中，多数网站在启用通行密钥后仍保留密码作为备用登录方式，因此完全的「无密码时代」还在过渡之中。

常见问题

问：手机丢了，Passkey 会不会跟着丢？答：通过 iCloud 钥匙串或 Google 密码管理器同步的通行密钥可在新设备上恢复；此外多数网站允许注册多个通行密钥或保留其他验证方式，建议提前设置备用手段。

问：Passkey 会把我的指纹上传给网站吗？答：不会。指纹、面容等生物信息只在本地设备上用于解锁私钥，网站收到的只是一段数字签名，拿不到任何生物特征数据。

问：所有网站都能用 Passkey 吗？答：还不能。需要网站主动接入 WebAuthn 标准，目前主流大型平台支持较好，中小网站仍在逐步跟进。