Passkey是陷阱？从一篇争议文章看通行密钥的隐忧

一篇题为《Passkeys are a trap. Do not use them》（通行密钥是个陷阱，别用它）的文章近期在 Hacker News 引发激烈讨论，收获 243 个赞和超过 130 条评论。作者对被科技巨头大力推广的 Passkey（通行密钥）技术提出了尖锐质疑。在业界普遍将 Passkey 奉为「密码终结者」的大背景下，这种逆向声音值得我们冷静审视。

什么是 Passkey

Passkey（通行密钥）是基于 FIDO2 和 WebAuthn 标准的无密码认证方案。它用公私钥对取代传统的用户名加密码组合：私钥保存在用户设备（手机、电脑或硬件密钥）中，公钥存储在服务端。登录时通过设备的生物识别（指纹、面部）或 PIN 来解锁私钥完成验证。

从技术原理看，Passkey 确实解决了密码体系的诸多痛点——它天然抗钓鱼、不会因为服务端数据库泄露而被盗、也不存在弱密码和密码复用的问题。正因如此，Apple、Google、Microsoft 等巨头都在力推这一方案，希望彻底取代密码。

FIDO2 是由 FIDO 联盟（Fast IDentity Online Alliance）与 W3C 共同制定的行业标准，WebAuthn 则是其中面向浏览器和 Web 应用的 API 规范。二者合力定义了一套基于非对称加密的认证流程：注册时，设备在本地生成一对密钥，私钥永远不离开设备，公钥上传服务器；登录时，服务器发出挑战（challenge），设备用私钥签名后返回，服务器用公钥验证签名即可完成身份确认。整个过程中，可被拦截或泄露的「共享秘密」（即密码）从来不出现在网络传输中，这正是 Passkey 抗钓鱼的根本原因——即便攻击者伪造了登录页面，也无法获得任何可复用的凭据。硬件层面，私钥通常存储在设备的安全飞地（Secure Enclave）或可信执行环境（TEE）中，操作系统本身也无法直接读取，进一步提高了被提取的门槛。

争议的核心：便利背后的代价

这篇引发讨论的文章并不否认 Passkey 的安全优势，其批评主要集中在可移植性、厂商锁定和用户控制权三个方面。

支持者眼中的「无缝体验」，在批评者看来恰恰是问题所在。当你的 Passkey 被绑定在某个厂商的生态系统（如 Apple 的 iCloud 钥匙串或 Google 密码管理器）中时，跨平台迁移往往异常困难。一个长期使用 iPhone 的用户若想换到 Android，其 Passkey 的迁移体验远不如「记住一串密码」那样简单直接。

这种设计实际上强化了厂商锁定（vendor lock-in）。密码的最大优点之一是它完全由用户掌控、可以随意记录和转移；而 Passkey 的私钥被封装在特定平台的安全机制里，用户对其的实际控制权被削弱。文章标题中「陷阱」一词，指向的正是这种以安全和便利为名、实则加深平台依赖的隐忧。

恢复与丢失：被忽视的边界场景

账户恢复是 Passkey 讨论中最棘手的环节。传统密码一旦遗忘，可以通过邮箱、短信等多种渠道重置。而 Passkey 一旦设备丢失且没有做好同步或备份，用户可能面临彻底失去账户访问权的风险。

虽然主流方案提供了云端同步来缓解这一问题，但云同步本身又带来新的信任假设——你必须信任云服务商不会出问题、不会封禁你的账号、不会在某天改变政策。对部分注重隐私和自主权的用户而言，把认证的「命门」交给单一云服务，本身就是不可接受的妥协。

值得注意的是，各平台对账户恢复的处理方式存在显著差异。Apple 通过 iCloud 钥匙串在同一 Apple ID 下的设备间自动同步 Passkey，并提供「账户恢复联系人」和「遗留联系人」机制作为兜底；Google 则依托 Google 密码管理器跨 Android 和 Chrome 同步，同时保留了传统短信或备用码作为降级通道。相比之下，完全离线使用的硬件安全密钥（如 YubiKey）若不提前注册备用密钥，一旦丢失则几乎无路可退。这种差异意味着「Passkey」并非铁板一块的单一体验，用户实际面对的风险模型因选择的存储载体和云服务商而大相径庭，在建立账户时了解所用平台的具体恢复流程尤为重要。

如何理性看待这场争论

Hacker News 上的高热度讨论反映出技术社区的分裂。一部分开发者认同作者观点，强调开放性和用户主权；另一部分则认为对普通用户而言，Passkey 带来的安全提升远超这些边界场景的不便，不应因噎废食。

客观来看，这场争论的本质不是「Passkey 技术本身好不好」，而是当前的实现方式是否足够开放和以用户为中心。FIDO 联盟近年来也在推动跨平台的 Passkey 导入导出标准，若这些标准能够落地，厂商锁定的担忧有望大幅缓解。

对普通用户的建议是：

• 如果你高度依赖单一生态（如全套 Apple 设备），Passkey 能带来显著的安全与便利提升，可以放心使用；
• 如果你经常跨平台切换，或极度看重自主控制权，不妨保留密码管理器作为主力，谨慎评估 Passkey 的迁移路径；
• 无论选择哪种方式，都应确保有可靠的账户恢复机制，避免把鸡蛋放在一个篮子里。

「Passkey 是陷阱」或许言过其实，但它提出的追问是真实而有价值的：在追求更安全、更便捷的认证体验时，我们是否在不知不觉中交出了对自己数字身份的控制权？这个问题，值得每个用户在点击「启用 Passkey」之前认真想一想。