硬件安全密钥

安全密钥必须购买至少两把并同时注册到账户（一把主用一把备份异地存放），单把密钥丢失或损坏且无备份会导致永久无法登录已启用无密码的账户

需要抵御网络钓鱼攻击的场景必须选支持FIDO2/WebAuthn的密钥，仅支持传统U2F(FIDO1)的密钥无法用作无密码登录，只能做二次验证

只有一把密钥且无备份恢复码时不建议对账户强制启用『仅密钥登录/移除其他验证方式』，一旦密钥丢失将被彻底锁死

构建账户安全的标准路径：1)确认核心账户(邮箱/密码管理器)是否支持FIDO2；2)购买两把同型号密钥；3)两把都注册到每个账户；4)一把随身一把异地保存；5)保留服务提供的离线恢复码作为最终后备

手机用户优先选带NFC的密钥（如YubiKey 5 NFC），移动端刷卡即可验证，无USB-C口的密钥在iPhone上只能靠Lightning或NFC，纯USB-A密钥在手机上几乎无法使用

接口类型要匹配日常主力设备：新款MacBook/安卓机选USB-C，老台式机或公司电脑仍需USB-A，跨设备用户选USB-C+NFC组合而非买两把不同接口的密钥

协议支持越全面价格越高：全能型YubiKey 5支持FIDO2/U2F/OTP/PIV/OpenPGP，而仅需给Google/微软/苹果账户加固的普通用户，纯FIDO2密钥就够用且便宜近一半

YubiKey 5系列通过IP68级防水防尘，无电池无移动部件，可承受洗衣机水洗和一定挤压，耐用性显著高于带电池或指纹传感器的型号

存储私钥/常驻密码功能（如支持OTP、PIV、OpenPGP）只有YubiKey 5系列等高端型号才有，普通FIDO-only密钥（如Security Key系列）不支持，需要智能卡认证或GPG签名的选前者

不要购买不支持你核心服务的密钥：如需保护微信/支付宝/国内银行，多数国产平台不支持FIDO硬件密钥，此时买再贵的密钥也无用，先确认目标服务支持列表

对生物识别有需求（本机指纹验证而非仅触碰）需选带指纹传感器型号（如YubiKey Bio），但其只支持FIDO2/U2F，不含OTP/PIV等协议，需权衡是否放弃多协议能力

预算极有限或仅需入门体验时不必直接买YubiKey 5，Google Titan或YubiKey Security Key系列的纯FIDO2功能已能覆盖绝大多数无密码登录场景

便携性与耐用性权衡：钥匙扣挂孔款便于随身携带但长期弯折磨损风险高，Nano超小型款可常插U口不占位但易在插着时被机械撞断，插拔频繁的选常规尺寸带孔款