2025年Verizon数据泄露报告里有个数字让产品经理失眠：超过80%的Web应用泄露事件，源头都是被盗或弱密码。讽刺的是，苹果、谷歌、微软早在2022年就联手推Passkey（通行密钥），三年后多数应用还在用2005年的架构——哈希存库，祈祷别被撞库。
Passkey不是概念，是已经落地的协议。但生产环境里的坑，官方文档不会告诉你：navigator.credentials.get()为什么在某些浏览器静默失败？allowCredentials参数到底控制什么？50万存量用户怎么迁移才不炸会话？
密码的致命设计：共享秘密原罪
传统认证的本质是共享秘密。用户知道密码，服务器存哈希，中间任何环节泄露就全盘崩溃。钓鱼攻击能成功，恰恰因为密码在传输和存储中都是可复制的字符串。
Passkey把逻辑倒过来。用户设备生成公私钥对，私钥永不出境，服务器只存公钥。认证时服务器发挑战（challenge），用户用私钥签名，服务器用公钥验签。数据库泄露？攻击者拿到的是公钥，数学上无法反向推导出私钥，也无法用于登录。
域名绑定是另一层防护。Passkey在创建时就和特定域名（Relying Party ID）密码学绑定，evil-example.com的钓鱼页面物理上无法触发example.com的Passkey。浏览器在协议层强制执行，社工话术再精妙也绕不过。
多因素认证被内置了：设备是"你拥有的"，生物识别是"你本身的"。用户无感知，安全水位却上去了。
WebAuthn的两场仪式：注册与认证
Web Authentication API（Web认证接口）定义了两个核心流程。注册阶段，前端调用navigator.credentials.create()，后端生成挑战并验证返回的公钥和凭证ID。认证阶段，前端调用navigator.credentials.get()，用私钥签名挑战，后端验签通过即放行。
听起来像调两个函数？生产环境的复杂度在于状态机。用户可能中途关闭页面、浏览器可能不支持特定算法、设备可能要求用户验证（user verification）但企业策略又想要免密体验。每个分支都要处理，否则就是客服工单。
TypeScript实现里有个细节容易踩坑：attestationObject的解析需要CBOR解码，而主流库对FIDO-U2F遗留格式的支持参差不齐。建议直接用fido2-lib或SimpleWebAuthn，别自己造轮子。
Conditional UI：让Passkey像自动填充一样自然
强制用户点击"用Passkey登录"是转化率杀手。Conditional UI（条件界面）把Passkey塞进浏览器的自动填充下拉框，用户点击用户名输入框时，系统匹配的Passkey直接出现，选了就验。
实现关键是mediation: 'conditional'参数和autocomplete="webauthn"属性。但注意：Chrome 108+、Safari 16+、Firefox 122+才支持，且iOS上需要App关联域名（Associated Domains）。渐进增强策略必须做好，否则老用户直接卡死。
数据库设计也有讲究。凭证表要存credentialId（Base64URL编码）、公钥COSE结构、签名计数器（防重放攻击）、设备类型（平台认证器vs漫游认证器）、备份状态（是否同步到iCloud/Google密码管理器）。别存任何可逆的私钥信息，那是架构腐败。
迁移50万用户：分阶段不强制
存量迁移最忌一刀切。建议三阶段：第一阶段新用户默认Passkey，老用户登录时弹窗引导注册；第二阶段高价值操作（支付、改密）强制Passkey；第三阶段逐步 deprecate 密码，但保留"紧急恢复"通道。
会话连续性要保障。用户注册Passkey后，原有cookie和刷新令牌应继续有效，直到显式登出或安全事件触发。突然踢掉所有会话，客服电话会爆。
多设备同步是体验分水岭。苹果把Passkey塞进iCloud钥匙串，谷歌用Google密码管理器，微软走Windows Hello。你的应用要检测isUserVerifyingPlatformAuthenticatorAvailable，给用户"在本机用生物识别"还是"用另一台设备扫码"的选项。跨平台场景别假设用户只有一部手机。
一个被低估的细节：注册时excludeCredentials参数能防止同一设备重复注册，但别滥用——某些企业场景需要同一用户的多把钥匙（个人设备+公司配发设备）。策略要可配置。
2026年还在让用户输密码，本质是把安全成本转嫁给用户记忆和客服工单。Passkey的迁移成本在前端是两周开发，在后端是一个季度灰度，但省下的泄露响应成本和品牌损伤，按Verizon那80%的比例算，这笔账不难算。你的用户画像里，有多少比例已经用上了iOS 16或Android 14？
热门跟贴