qdwang

@niunew 但是按你的说法，如果只有一个设备，丢了，就无法登陆了，只能用类似上传证件方式拿回账号了。

@Matrixes 对的，密码和 2fa 使用不同的管理器，还可以防止一锅端现象

@ysc3839 是的，从算法原理上肯定是比密码好的。问题出在管理上，实际情况总是需要管理这些密钥的，比如云同步或者打印密钥，这就增加了使用成本也降低了安全性。

@moudy 对的，我也觉得，passkey 只是比反复用老密码安全一点，但是并没比密码 + 2fa 安全。而且同步账号被盗会面临一锅端风险。

@woniu7 你有同步 passkey 在某个账号上吗？如果那个账号被盗了，不是全丢了？

如果你没同步在某个账号上，那万一你设备丢了，怎么办？

@v1 如果 passkey 需要用备用代码记录，那并没有比用密码管理器生成长密码更方便安全。

@leoking6 就是有的人 google authenticator 因为开了同步，被盗账号后，所有的 2FA 验证码就都在黑客手里了。passkey 同理，一旦同步账号被盗，就全部裸奔了。所以我觉得 passkey 没有更安全。你说的很多网站用同一个密码，确实用 passkey 可以避免。

总的来说我感觉，安全性上：

密码管理器 A 生成密码 + 2FA 管理器 B 记录验证码 > passkey > 老密码

@w568w
@antileech 十分感谢 解释的很详细

@Suzutan 感谢，看来可能就是用这种方法确定浏览器唯一性的。问题是，这种用于确定客户唯一性的方法，浏览器似乎没什么好的防隐私泄漏应对措施。