硬件密码管理器

硬件密码器普遍不支持云端同步与备份，一旦丢失或损坏凭证无法恢复，因此必须遵循'至少注册2把密钥'原则：主用一把+异地保管备用一把，并在每个账户同时注册两把的公钥

手机端使用必须核对接口与协议：iPhone需Lightning或USB-C+NFC双模，安卓多数支持USB-C+NFC；仅USB-A接口的密钥无法直接插手机，需额外转接头，选购前确认设备接口

带独立显示屏的密码管理器（如OnlyKey/Trezor类）适合需要肉眼核对转账地址或读取TOTP验证码的场景；纯FIDO2密钥（如YubiKey 5系列）无屏幕，无法本地查看存储内容，只能作为认证器使用

选购硬件密码管理器时，若需FIDO2/WebAuthn无密码登录，务必确认支持CTAP2.1协议而非仅CTAP2.0，只有2.1才支持passkey驻留凭证的PIN变更与凭证枚举管理

FIDO2密钥的驻留凭证（discoverable credentials）存储位有上限，YubiKey 5系列约25个passkey，若管理多个无密码账户需提前确认容量，超出后需删除旧凭证才能新增

防克隆能力的核心在于私钥是否'不可导出'：合格的硬件密钥私钥在安全芯片(Secure Element)内生成且永不离开芯片，购买时应确认采用独立SE而非仅软件保护，避免侧信道复制

TOTP存储需求者注意：YubiKey 5系列的OATH-TOTP功能上限32个种子，且必须配合Yubico Authenticator App读取（密钥本身无屏），并非插上即用；纯离线读码需求应选带屏设备

解锁方式权衡：带指纹的密钥（如YubiKey Bio）免输PIN更便捷但价格更高且不支持OTP功能；PIN+物理按键(touch)方案更通用便宜，但公共场合输PIN有被窥屏风险

支持种子助记词恢复的开源方案（如Trezor/OnlyKey）可在设备损坏后用助记词恢复全部凭证，而YubiKey等封闭FIDO密钥无此机制；若极度担心单点丢失且能安全保管助记词，优先选可恢复方案

若你的账户体系严重依赖苹果生态（iCloud钥匙串passkey同步），单纯的硬件FIDO密钥反而成为累赘，因为苹果原生passkey已跨设备同步，此时硬件密钥仅作为高安全场景的第二因子，不建议作为主力

企业批量部署或多人共用场景不要买消费级单密钥，应选支持远程重置PIN、firmware版本可查、支持FIDO Enterprise Attestation（企业证明）的型号，以便IT策略管控