Passkey 通行密钥怎么用：原理、迁移与常见问题
结论：Passkey（通行密钥）是用一对密钥代替密码的登录方式——私钥留在你的设备或密码管理器里，网站只存公钥。它比密码和短信验证码都更难被骗，因为验证过程绑定了网站域名，钓鱼站拿不到能用的凭据。
适用边界：如果你日常只用一两个主流手机和浏览器，现在就可以开始用；如果常用设备较老、或必须登录大量只支持密码的老系统，就先把 Passkey 用在少数几个关键账号上，其余保持「密码 + 两步验证」，两条腿走路最稳。
它到底是什么：一对密钥加一个域名
注册时，你的设备生成一对密钥：私钥留在本地（由系统钥匙串或密码管理器保管，通常要用指纹、面部识别或系统 PIN 才能调用），公钥上传给网站。登录时，网站发来一段随机挑战，设备用私钥签名，网站用公钥验签。整个过程私钥不出设备，网站数据库里也没有任何「能直接登录的东西」。
关键在于签名时会把当前网站的域名一起算进去。所以你被引导到 examp1e.com 这种仿冒站时，设备根本不会为那个域名签名——这不是靠用户眼力，而是密码学层面的硬约束。
| 维度 | 传统密码 | 短信/验证码 | Passkey |
|---|---|---|---|
| 网站服务器存了什么 | 密码哈希（可能被撞库） | 手机号、会话状态 | 只有公钥 |
| 能被钓鱼站骗走吗 | 能（用户手输） | 能（用户手输，且可实时转发） | 基本不能（域名不匹配就不签名） |
| 要记东西吗 | 要记，且每个站点不同 | 不用记 | 不用记 |
| 设备丢失后的影响 | 无（换设备照登） | 收不到码 | 取决于密钥是同步型还是设备绑定型 |
| 换平台/换浏览器 | 无影响 | 无影响 | 跨生态仍需磨合 |
同步型和设备绑定型，差别在「丢设备之后」
这是最容易被忽略、也最影响体验的一点。同样叫 Passkey，存法有两种：
- 同步型：私钥加密后随你的账号体系在多台设备间同步（例如手机与同生态的电脑、平板）。换机时登录同一账号即可恢复，代价是安全性依赖这个账号体系本身——所以那个账号必须开好两步验证。
- 设备绑定型：私钥只存在于某一台设备或某一把硬件密钥里，不同步。抗攻击性更强，但设备损坏就意味着这个 Passkey 消失，必须提前配第二把。
实务建议：至少准备两个可用的凭据。可以是「手机同步型 + 一把硬件密钥」，也可以是「两台同生态设备」。只配一个，等于给自己埋了一个单点故障。
迁移步骤：从一个关键账号开始
不要一次把几十个账号都改掉，先挑主邮箱试一遍完整流程，包括「删掉密码之后还能不能登」这一步。
- 更新系统和浏览器到较新版本（Passkey 依赖系统级的密钥存储能力，老版本可能只支持一部分）。
- 登录目标账号的安全设置页，找到「通行密钥 / Passkey / 无密码登录」入口，按提示用指纹或系统 PIN 创建。
- 创建后先别删密码。退出登录，用 Passkey 重新登一次，确认真的可用。
- 在第二台设备或第二把密钥上再添加一个。此时才算有了冗余。
- 确认无误后，再决定是否删除密码。删除前先看该平台是否还保留「备用验证方式」。
哪些场景现在还不适合
Passkey 的普及速度快，但覆盖并不均。遇到下面这些情况，老老实实保留密码 + 两步验证更省事：
- 需要共享的账号：家庭共用的流媒体、公司共用的采购账号，Passkey 天生是「一人一凭据」，共享要么靠共享库要么靠专门机制。
- 老旧设备或受限环境：公司电脑锁了蓝牙和 USB、系统版本过旧、只能用某个旧浏览器，都可能让 Passkey 走不通。
- 需要脚本/命令行登录的服务：API、SSH、自动化任务仍然依赖密钥文件或令牌，不是 Passkey 的适用场景。
- 跨生态的日常切换：从苹果生态换到安卓、或频繁在 Windows 与 Linux 间切换时，跨设备登录可能需要扫码中转，体验不如密码直接。
设备丢了、换新机了怎么办
先分清你用的是哪种。同步型的最简单：在新设备登录同一账号体系，密钥会跟着回来；但前提是那个账号本身还能登进去——所以它的两步验证和备用码必须提前准备好。设备绑定型的，只能靠你事先添加的第二把密钥；一把都没配，就只能走平台的人工找回。
这也是为什么开通 Passkey 的那五分钟里，「加第二个凭据」比「删掉密码」重要得多。很多人反过来做，结果手机一换就锁在门外。
它和密码管理器是什么关系
两者不是替代关系。同步型 Passkey 通常就存在系统钥匙串或密码管理器里，密码管理器负责保管私钥、并在登录时调用系统验证（指纹/PIN）。也就是说，密码管理器正在从「存密码」变成「存凭据」：密码、TOTP、Passkey、恢复码都可能放在一起。
这意味着密码管理器本身成了最高价值目标。请确认它开了两步验证、主密码足够强、并且恢复方式可用——做法见两步验证怎么开启。如果你还在用手写密码本，先做好密码本导入密码管理器这一步，再谈 Passkey。
保留密码的边界，和一份检查清单
什么时候该留密码？三种情况：平台明确要求「密码 + Passkey」双因素；你需要从命令行或第三方客户端登录；账号涉及重要资产且平台找回流程不透明。除此之外，能删就删——留着密码等于给攻击者留了一条更弱的路。
- 挑一个关键账号（主邮箱），确认系统与浏览器版本支持 Passkey。
- 创建 Passkey，退出重登验证一次。
- 添加第二个凭据（另一台设备或硬件密钥）。
- 确认备用验证方式和恢复码都能用，离线保存一份。
- 再决定是否删除密码；不确定就先留着，不必急。
- 把「哪些账号已启用 Passkey」记进密码管理器备注，半年复查一次。
如果某天你怀疑自己曾经在假页面上输过密码，处理顺序和 Passkey 无关，直接看密码泄露了怎么办，先改密、再踢会话，比纠结登录方式更要紧。