主密码是身份根凭证，一旦泄露，攻击者可长期、多地登录并可能横向修改账户设置；而一次性会话通常由服务端签发短时效令牌，过期即失效，且往往绑定设备或IP。