密码退场，密钥登场：无密码认证能否真正终结身份盗用？
密码的黄昏
人类与密码的关系早已陷入一种诡异的悖论：我们被要求记住越来越多、越来越复杂的字符串，却又被不断告诫不要把它们写下来、不要重复使用、不要告诉任何人。现实是，平均每个互联网用户手握上百个账户，而人类大脑的记忆机制本质上并不适合处理这种规模的随机信息。于是，密码复用、弱密码、默认密码成为常态，钓鱼攻击、撞库攻击、凭证填充攻击随之大行其道。
身份盗用的成本正在系统性下降。当用户的同一组凭证在数十个平台上流通，一次小型数据泄露就能引发连锁反应。传统的安全教育把责任推给用户——要设置强密码、要开启双重验证、要定期更换——但这套叙事正在破产。问题不在于用户不够谨慎，而在于密码这套机制本身已经无法匹配当前网络攻击的规模和自动化程度。
passkeys的技术逻辑
passkeys（通行密钥）的核心思路并不新颖，它本质上是公钥密码学在消费级产品中的规模化落地。注册时，服务端生成一对密钥，公钥留存服务器，私钥由用户设备安全 enclave 或可信平台模块保管，永不离开本地。登录时，服务端发送挑战（challenge），用户使用生物特征或设备 PIN 解锁私钥完成签名，服务端验证签名即完成认证。
与 FIDO2 早期的安全密钥方案不同，passkeys 把私钥管理从外部硬件迁移到了用户已有的手机、平板或电脑操作系统层面。这一迁移看似微小，实则决定了技术的生死——它消除了额外携带硬件的摩擦，让普通用户能够在无感知的情况下完成高强度认证。苹果、谷歌、微软等操作系统厂商的集体背书，进一步让 passkeys 获得了原生的可用性基础。
从安全属性看，passkeys 解决了几个密码体系的顽疾：不存在可被钓鱼的共享密钥，因为私钥只在对应域名下生效；不存在跨站凭证复用，每个站点拥有独立密钥对；服务端泄露的公钥也无法被用于伪造认证。这套机制把安全重心从"用户记住什么"转移到了"用户拥有什么"以及"用户是谁"。
产业推进的现状与裂缝
目前，主流操作系统和浏览器已陆续支持 passkeys 的创建与同步。用户可以在设备上生成通行密钥，并通过厂商的云同步服务在多台设备间流转。这种同步机制极大提升了可用性，但也引入了新的争议：当私钥可以通过云备份跨设备恢复时，它的安全性是否仍然等同于本地硬件绑定？
厂商给出的答案是，同步过程本身采用端到端加密，且需要用户设备的身份验证才能解锁。但这里存在一个微妙的信任转移——用户不再需要信任自己的记忆力，转而需要信任操作系统厂商的加密实现、云基础设施和内部访问控制。对于多数普通用户而言，这种信任未必比记住一个密码更容易建立。
更现实的障碍在于存量生态。全球仍有大量网站和应用依赖传统的表单登录体系，改造需要投入工程资源、更新身份基础设施、处理兼容逻辑。passkeys 并非向后兼容的补丁，而是一次架构级别的切换。在过渡期内，用户可能面临同一站点同时支持两种认证方式的混乱，甚至因为界面设计不当而误操作。
它能终结身份盗用吗？
答案需要分层讨论。如果"身份盗用"指的是通过窃取密码进行的凭证填充和钓鱼攻击，passkeys 确实能提供近乎免疫的防护。因为攻击者即便拿到了服务端存储的公钥，也无法伪造签名；即便搭建了钓鱼网站，浏览器也会校验域名与密钥绑定关系，阻断冒用。
但如果"身份盗用"的范畴更宽泛——包括设备丢失后的本地冒用、社会工程学诱导下的授权操作、生物特征被伪造、或账户恢复流程被攻破——passkeys 并非银弹。一个丢失且未设置锁屏密码的手机，可能成为攻击者进入多个账户的万能钥匙；一段精心设计的诱导界面，可能让用户在不完全理解的情况下完成生物验证。
此外，passkeys 的恢复机制目前仍是各家自行其是。如果用户更换设备生态（比如从苹果转向安卓），或者忘记了恢复凭证，账户的找回路径远不如传统"邮箱重置密码"那样直观。这种可用性的脆弱点，恰恰是攻击者可能瞄准的新缺口。
安全范式的转向与未竟之路
passkeys 的真正价值不在于它完美无缺，而在于它标志着一个认知的转变：安全设计不应该把最薄弱的环节放在人类身上。密码体系把安全的重担压在记忆力、注意力和警惕性上，而这些都是人类最不稳定的特质。passkeys 把认证重新锚定在设备、加密协议和生物特征上，尽管这些锚点也有各自的风险，但它们至少是可管理、可审计、可工程化的。
未来的竞争将围绕三个维度展开。其一是互操作性，不同生态之间的 passkeys 能否无缝流转，决定了用户是否会因为锁定效应而抗拒 adoption；其二是恢复体验，当设备丢失或生物特征变化时，是否有既安全又不折磨人的备选路径；其三是与传统多因素认证的融合，passkeys 不应该成为唯一的认证手段，而应该作为多层防御体系中的核心一层。
从更宏观的视角看，无密码认证的普及可能倒逼身份体系的重构。当每个设备都成为身份载体，当生物特征成为认证介质，隐私保护与身份验证之间的张力会愈发突出。如何在"证明你是你"的同时，最小化个人信息的暴露，将是下一代身份协议必须回答的问题。
passkeys 不是终点，而是密码学回归常识的起点。它提醒我们，最安全的系统不是让用户变得更聪明，而是让攻击变得更困难。在这个意义上，无密码认证的价值已经超越了技术本身，它是一次关于"安全该由谁负责"的重新定义。