「Passkeys 是个陷阱」：当你的钥匙不再属于你
一篇 700+ 赞的 HN 热文警告：passkey 表面上是免密码的救星，实则藏着一整个「零件目录」和一扇叫远程证明的后门。访谈解读钥匙归属权、评论区的质疑与 boil-the-frog，以及开发者的自保方案。
这周 HN 榜首被一篇标题极具挑衅性的文章拿下：《Passkeys are a trap. Do not use them.》——一位署名 The Hack 的作者宣称，正在被全网推广的 passkey（通行密钥）不是来解放你的，而是来拿走你的钥匙的。700 多分、400 多条评论，安全派和工程派在评论区打成一团。我请来老朋友林澈——在一家出海 SaaS 做过完整 passkey 落地的身份认证工程师，白天亲手写过 WebAuthn 集成代码，晚上在论坛里和人对线的那种。我们聊了聊 passkey 到底哪儿不对劲，评论区谁在说谎，以及普通人该怎么办。
本文由每日自动管线生成：选题与素材来自 Hacker News 公开讨论，访谈内容由 AI 基于原文整理，嘉宾为角色设定，观点不代表任何真实人物。
小听： 林澈，先问个直球。Passkey 的卖点不是很正吗？抗钓鱼、不用记密码、指纹一按就登录。这篇文章一上来就说它是「木马」，是不是为了标题党？
林澈： 标题确实是战斗檄文，但内核值得认真对待。作者的核心论点只有一句话：**密码最大的优点不是安全，而是钥匙在你手里。**你可以选择把密码写在哪台设备上、备份在哪、分享给谁——Netflix 不希望你分享密码，但它管不着你。TOTP（Authenticator 那种 30 秒变一次的验证码）也一样：RFC 6238 是公开标准，任何软件都能实现，甚至有人在 Game Boy 上写了 TOTP。你的种子、你的软件、你的选择。而 passkey 表面上也披着开放标准（WebAuthn）的外衣，作者说：这件外衣底下，钥匙的归属权被悄悄换了主人。
小听： 「换了主人」具体指什么？不都是我手机里的一把密钥吗？
林澈： 这就是文章最精彩的一段：passkey 根本不是一种东西，而是「一整个零件目录」，却被故意起了同一个名字。文章用连珠炮列出：可以复制的和不可复制的（both kinds exist）、可转移的和不可转移的、硬件绑定的和纯软件的、需不需要人在场确认的、要不要生物验证的……单独看每一种都合理，但问题是——这些选项不一定由你选。
小听： 选项不在我手里，在谁手里？
林澈： 在网站手里。WebAuthn 规定你的 passkey 软件必须通过「authenticator data flags」告诉网站你用的是哪种组合。于是 Twitter（现在叫 X）可以说：不好意思，我们只收「人在场+已验证+不可复制+硬件绑定」的那一款。委婉点的版本就是你我都见过的那句话：「您的密钥不够安全，请下载我们的 App」。HN 评论区有个叫 cvdict 的人说，他已经在现实中遇到过无法存进 Bitwarden、强制要求 TPM 芯片的 passkey——这不是科幻，是已经发生的现在进行时。
名字都叫钥匙，锁却不一样。
小听： 评论区最高赞的一条来自 lxgr，直接指控作者 bad faith：说文章把很多「规范里根本不存在的维度」也说得煞有其事，等于在造稻草人。这个反驳你接吗？
林澈： 半接。lxgr 的技术批评是对的——比如「需不需要人在场」这类维度在实际实现里并没有作者渲染得那么泾渭分明，部分分类确实是为了修辞效果。但评论区另一派抓住了作者的内核：oefrha 是个 passkey 的支持者，他说标题让他防御性拉满，可也不得不承认「有真实内核」——1Password 最近开始强制要求 userVerification，桌面端没有指纹就得输入登录密码才能用 passkey，「丝滑登录」的承诺已经在打折。技术细节吵得再凶，「选择权正在从用户流向网站」这个方向没人能反驳。
小听： 文章里真正的杀招好像是「远程证明」（remote attestation）。这是什么东西？
林澈： 这是全文最重要的一章，也是作者说「陷阱」的真正所指。远程证明允许网站用你设备里的安全芯片做密码学验证：证明你用的是被批准的密钥管理器，而不是你自己写的一个会撒谎的版本。注意这个链条有多长：安全芯片、密钥管理软件、操作系统、固件必须全链通过检查。你的手机停止安全更新了，你刷了 LineageOS 续命——很好，网站能检测到，然后拒绝你登录。
小听： 但现在好像没几个网站真这么干？
林澈： 现在是没有。作者的论证是「温水煮青蛙」：今天先让你用上 passkey，用了就等于你向网站宣告「我的设备支持这套标准」；等大多数用户都进来之后，网站可以每次只对几千个用户开闸，逐步收紧，没人会注意到水温变了。评论区 xg15 把这个剧本总结成了四步曲：可选功能 → 默认开启可关闭 → 藏进高级设置 → 全面强制还美其名曰为你好。Chrome 今年砍掉 uBlock Origin 就是同一个剧本的浏览器版本——先拿走你的工具，再告诉你这是为了你的安全。
你以为钥匙在你手里，验收权却在别人那儿。
小听： 最阴谋论的一段是作者列出 FIDO 联盟的成员：大厂、银行、情报机构——然后说「没有一个消费者权益组织」。这个名单政治学你怎么看？
林澈： 把它当提醒，不要当证据。成员名单本身是公开事实：W3C 好歹还有高校和公共利益团体，FIDO 联盟里确实没有替用户说话的席位。但「情报机构想用它阻止你运行未批准软件」这一步是作者的推演，不是实锤。HN 评论里也有人提醒：远程证明只能在注册阶段要求，登录时没法追溯加码，浏览器还会弹权限提示——现实中的收紧速度可能比作者渲染的慢。我的态度是：把滑坡论证打七折，剩下的三折依然值得你认真对待。
小听： 那回到工程师的日常。Passkey 到底用还是不用？给听众一个能带走的结论。
林澈： 三条。第一，分得清「密码学」和「产品」：passkey 的密码学很美——域绑定、抗中间人，这些是真优点。坏的是「同名不同物」的混乱命名和远程证明这扇后门。作者自己也在文末承认：他其实很想推荐 passkey，是 FIDO 联盟搞砸了一手好牌。第二，别把全部身家押在一个篮子里：TOTP + 密码管理器（自托管的那种）的组合今天依然有效，Game Boy 的梗背后是认真的——开放标准意味着你永远有 Plan B。第三，如果真想要 passkey 级别的安全又不想被锁死，作者给的答案是物理安全密钥，比如 YubiKey：同样是 FIDO 标准，但它是自包含的，远程证明不会顺带锁死你的整个操作系统。
小听： 最后一句总结？
林澈： 技术采纳之前先问一句：这把钥匙，到底在谁手里？如果答案是「在你手里，但网站有权验收你配不配拿」，那它就不是你的钥匙。本文观点仅代表访谈角色设定，原始讨论见参考链接。