密码是我们标准化的事物之一，因为我们已经使用它们多年了。用户会忘记它们、重复使用它们、将它们写在不该写的地方。团队必须管理重置、策略、哈希、泄漏、网络钓鱼和支持。

passkey 并没有使身份验证变得完美，但它们消除了一个巨大的问题：服务器不再需要保留与用户共享的秘密。

到底发生了什么

passkey是基于WebAuthn的凭证。当用户创建时，设备会生成一个密钥对：

• 私钥，保留在设备或密码管理器中；
• 服务器可以保存的公钥。

登录服务器时不会询问“告诉我密码”。发送随机挑战。设备使用私钥对其进行签名。服务器使用公钥验证签名。

这是很好的部分：如果数据库被盗，里面没有密码可以破解。如果用户最终进入假域名，则 passkey 对于该域名无效。这不仅仅是方便，更是针对网络钓鱼的具体保护。

浏览器充当桥梁

在浏览器中，两个主要的 API 是：

• navigator.credentials.create() 创建passkey；
• navigator.credentials.get() 在登录时使用它。

但重要的逻辑是在服务器上。服务器必须生成质询，暂时保存，验证响应，检查源和Relying Party ID，然后创建会话。

客户端部分应该几乎很无聊：

const options = await fetch('/api/passkeys/login/options').then((r) => r.json());

const credential = await navigator.credentials.get({
  publicKey: PublicKeyCredential.parseRequestOptionsFromJSON(options),
});

await fetch('/api/passkeys/login/verify', {
  method: 'POST',
  headers: { 'Content-Type': 'application/json' },
  body: JSON.stringify(credential?.toJSON()),
});

如果您发现自己手动实施WebAuthn加密，请停止。使用强大的服务器端库。这里的错误不是“可爱的错误”，它们是身份验证漏洞。

数据库中保存的内容

没有必要拯救半个世界。通常就足够了：

• 凭证的ID；
• 公钥；
• 连接的用户；
• 任何验证计数器或元数据；
• 传输（如果对用户体验有用的话）；
• 用户选择的名称；
• 创建日期和最后使用。

最小的表可能如下所示：

create table passkey_credentials (
  id uuid primary key default gen_random_uuid(),
  user_id uuid not null references users(id),
  credential_id text not null unique,
  public_key text not null,
  name text,
  created_at timestamptz not null default now(),
  last_used_at timestamptz
);

然后我会添加审核日志和通知：如果有人在我的帐户上创建了新的passkey，我想知道它。

用户体验比演示更重要

passkey 的演示总是很漂亮：你点击，Face ID，你就进去了。实际产品更复杂。

有人换手机了有人使用锁定的公司计算机。有些人不明白为什么浏览器会建议passkey。有人失去了对其设备的访问权限。

这就是为什么我不会以“从今天起不再为每个人提供密码”开始。我会这样开始：

1. passkey内部用户可选； 2.建议登录成功后创建一个； 3.账户页面重命名和删除passkey；
2. 明确的后备方案； 5.在主登录中逐步推出。

界面中的文字应该简单。 “使用设备的锁定屏幕”比“使用居民 FIDO2 凭据进行身份验证”更好。

我会避免的错误

不要给客户带来挑战。质询是在服务器上创建的，并且只需验证一次。

不要只相信凭证 ID。您需要验证签名、质询、来源和Relying Party ID。

在拥有良好的恢复流程之前，请勿删除后备。无密码不一定要变成“如果你丢失了手机，你就永远出局”。

不要将 passkey 视为纯粹的前端按钮。隐藏按钮并不安全：真正的验证是在服务器端。

Passkey-优先还是passkey-友好？

对于新产品，您可以首先考虑passkey。对于现有的应用程序，我更喜欢passkey友好：添加passkey作为推荐方法，衡量成功和问题，然后冷静地减少密码权重。

感觉不到理想的迁移。用户发现登录变得更加容易，而不是公司改变了其身份验证协议。

结论

passkey 很有趣，因为它们同时提高了安全性和用户体验，这是罕见的。它们不是魔杖：恢复、兼容性、支持和推出仍有待精心设计。

但基本的变化是强烈的。停止要求用户发明和保护秘密。您让设备签署与您的域相关的加密证明。更少的人类记忆、更少的网络钓鱼、更少的密码重置。我想说它们值得认真对待。

来源

• MDN: Passkeys
• MDN: Web Authentication API
• W3C: Web Authentication
• passkeys.dev