科技博主 hawksley.dev 最近写了一篇直白的博文《I don't like passkeys》，把许多技术极客私底下的牢骚捅上了台面。在 Google、微软和苹果的步步紧逼下，登录界面的“跳过密码”提示几乎成了关不掉的弹窗。官方叙事里，基于 WebAuthn 和非对称加密的通行密钥是终结凭证泄露的终极解法；但在现实中，它更像是一场打着安全旗号的身份主权大让渡。
防钓鱼的数学逻辑无可挑剔，问题出在真实世界的代价结算上。对普通人来说，遭遇高级中间人攻击（AiTM）的概率极低，真正悬在头顶的日常灾难只有三个：设备丢失、误操作锁死与平台风控封号。
移动端破冰，桌面端筑墙
反对 Passkeys 的人常说跨生态导出是天方夜谭，这个判断在 2026 年只对了一半。真实的迁移格局正陷入一种诡异的割裂：移动端撕开了一道口子，桌面端却依然深宅大院。
FIDO 联盟定义的凭据交换标准里，规定数据格式的 CXF 1.0 已经进入拟议标准阶段，但负责跨服务商传输协议的 CXP 依然处于工作草案阶段。巨头们并非毫无动作。Google 在 2026 年 9 月 10 日宣布在 Android 系统支持 Passkeys 与密码的直接互导，首批接入了 1Password、Bitwarden 和 Dashlane；Apple 也在 iOS 26 的“密码”应用里增加了导出接口。
然而，这种互通是有严格边界的。1Password 确实支持在 iOS 26 与 Android 14 之间无线互转，但其桌面端的文件导出功能，依然明确彻底屏蔽 Passkeys。Bitwarden 虽然支持在 iOS 26 和 Android 10 以上直接交换数据，但其 CXP 流程也明确排除了使用安全计数器的凭据。
若想彻底避开云端、使用独立的物理硬件密钥（如 YubiKey），你马上会撞上物理上限：硬件芯片内用于免输入用户名的可检测凭据容量通常只有 25 到 100 个，顶配型号也不过支持约 300 个。一旦超出，用户只能不断买新钥匙或手动删号。
字符尚可抄录于纸，密钥却只能寄居于系统。
脆弱的恢复链，抵消了密码学收益
Passkeys 最大的悖论在于：前端把门锁加固到了航天级别，后门却依然给木棍留着缝隙。
2026 年 USENIX 安全研讨会上的一项实证研究揭开了尴尬的底牌。研究人员对 872 个声称支持 Passkey 的网站展开摸排，在深入评估的 103 个站点中，有 18 个站点的逻辑缺陷可直接导致账户被接管、密钥被意外删除或账户永久锁死；更有 53 个站点存在至少一个高危实现漏洞。
FIDO 联盟在 2025 年的技术指导文件里其实早就发出过警告：下游服务商在急匆匆干掉密码后，如果缺乏抗钓鱼的恢复路径，往往会退回至发送邮件魔法链接或短信验证码。这不仅直接抹平了抗钓鱼的收益，还带来了极差的调试体验——系统遇阻时往往只会抛出一句不可理喻的“未找到通行密钥”。
更沉重的代价在于中心化托管机制的容错率极低。根据苹果官方文档，一旦你丢失了所有受信任设备，iCloud 钥匙串的云端托管恢复机制在连续失败 10 次后，就会永久销毁托管记录，没有任何人工客服可以挽回。而在 Google 体系中，一旦密钥丢失，两步验证的恢复人工审查通常需要耗时 3 至 5 个工作日；要是账号不幸触发了全域合规风控被直接封禁，整个密码库与通过 Google 登录的关联链路将瞬间全军覆没。
- 风险.下游服务商拙劣的回退机制，正让高级非对称加密的安全承诺沦为表面工程。
重建属于自己的数字边界
把原本属于自己的字符串，替换成依附于巨头身份体系的加密凭证，这就是无密码时代悄悄完成的置换。对于习惯在各个网站重复使用弱密码的庞大群体，Passkeys 确实把他们拉出了泥潭；但对于已经建立起成熟密码管理体系的用户，这无疑是一场主权的缩水。
古人讲“利出一孔者，其国无敌；出二孔者，其兵半羸”。巨头们希望将认证权彻底收归底层操作系统，但理性的个人防御从来不该押注在单一通道上。
- 建议.对日常无关紧要的消费级站点，不妨顺从同步密钥的便利；但对核心资产与通信命脉，依然应当以第三方独立密码管理器为主干，配合本地离线 TOTP，并留存实体应急恢复密钥。
毕竟，能导得出的明文，哪怕再原始，也终究握在自己手里。