通行密钥（Passkey）实战：2026 年如何彻底告别密码

密码的时代正在走向终结。随着 FIDO2 与 WebAuthn 标准的广泛普及，通行密钥（Passkey）已成为身份认证领域最令人兴奋的创新。

什么是通行密钥（Passkey）？

通行密钥是一种基于公钥密码学的免密认证方式。与传统的「用户名 + 密码」不同，通行密钥把私钥安全地保存在用户设备上（例如手机的 Secure Enclave 安全隔区或电脑的 TPM 芯片）。服务器只保存对应的公钥。

每次登录时，服务器会向设备发送一个随机挑战值。设备用私钥对其签名后返回，服务器再用已保存的公钥验证签名。整个过程中私钥始终不会离开设备——即使攻击者攻破了服务器，也无法拿到用户的凭据。

sequenceDiagram
    participant S as 服务器
    participant D as 用户设备
    S->>D: 发送随机挑战值
    D->>D: 用私钥签名（用户指纹或人脸确认）
    D-->>S: 返回签名
    Note over S,D: 服务器用公钥验签——私钥全程不离开设备

图 1：通行密钥登录的挑战-应答流程——服务器发挑战值，设备用私钥签名，服务器用已保存的公钥验签；私钥始终留在设备里。

为什么现在就该采用通行密钥？

• 安全性：彻底消除钓鱼攻击，因为认证过程与域名强绑定。仿冒网站无法通过 WebAuthn 的来源（origin）校验。
• 用户体验：用指纹或人脸即可登录，无需记忆复杂密码。Google 的数据显示，通行密钥的登录成功率是密码的 4 倍，速度快 2 倍。
• 跨平台同步：Apple、Google、Microsoft 均支持通行密钥跨设备同步，覆盖超过 99% 的终端用户。
• 行业趋势：据 FIDO 联盟统计，目前已有超过 80 亿个账号支持通行密钥，包括 Google、Apple、Microsoft、Amazon 等。

在 Autional 中启用通行密钥

Autional 内置完整的 WebAuthn 服务端支持，无需引入额外的集成库：

1. 管理端：在 MFA 策略中开启通行密钥选项，并配置可接受的认证器类型（平台认证器 / 跨平台认证器）。
2. 用户端：登录后进入「安全设置」，点击「添加通行密钥」。系统会自动调用浏览器的 WebAuthn API，引导用户完成指纹、人脸或硬件密钥的注册。
3. 登录流程：登录页会自动检测设备是否支持通行密钥，优先走免密登录。若检测到已注册的通行密钥，则启动条件式中介（conditional mediation）自动完成认证。

整个接入过程对开发者是透明的——Autional 的 identity-service 与 mfa-service 已完整实现注册（attestation）与认证（assertion）两个协议流程。

最佳实践

1. 在保留通行密钥的同时配置备用认证方式，避免设备丢失导致账号被锁。建议同时启用 TOTP 或备用码作为恢复手段。
2. 高安全场景建议使用硬件安全密钥（如 YubiKey）作为物理隔离的补充。
3. 在登录流程中优先检测设备是否支持通行密钥，引导用户体验免密登录。数据显示，采用通行密钥可将登录转化率提升 15-25%。
4. 教育用户：通行密钥比密码更安全。向用户讲清「为什么不需要记住它」背后的公钥密码学原理。

未来展望

通行密钥正在重塑互联网的身份认证格局。FIDO 联盟的 2025 路线图涵盖跨生态导出、增强的条件式 UI 以及企业级管理 API。Autional 将持续跟进标准演进，确保你的系统始终站在认证安全的最前沿。