为啥国服腾讯云登录方式把 passkey(通行密钥)阉割了？

我就说今天怎么总感觉这个场景好像在哪遇到过

发完帖子才想起来，2023 年腾讯云国服 MFA 只能绑定微信小程序，当时特意发帖 t/924698

passkey 这么方便的东西不知道为什么国内都不支持.

@stinkytofux 阿里云最近上了，尚可

@stinkytofux 感觉是跟促销、拉新那些能创收的事比起来，passkey 根本排不上号
另一方面，passkey 其实会削弱厂商自己的生态，降低自家应用间互动的频率

因为手机号验证码更适合中国宝宝的体质

他们认为国内用得少或者打造生态闭环？

@daimaosix 阿里云早就上了，但是我用 bitwarden 来登录总是报错，还提过工单，但是他们回复说只支持硬件的，现在支持软件的了吗？

国内基本上用不了跨设备 passkey （除了果子生态，安卓这边要连谷歌服务器交换密钥），绑定了人家用手机发现登不上就有得玩了（）

意义不大 这个东西在风控之前，如果你在陌生设备操作 还是会发验证码

@vishun #7 之前是企业账号才能用吧。我的企业账号用 bitwarden 没有问题

因为不管你用什么登录，最后都要验证码才行啊，垃圾东西

您好，感谢您的关注。关于腾讯云国内站 Passkey 登录功能此前处于测试阶段，现已正式启动发布流程，将于本周开始逐步灰度上线，预计本月内完成全量开放。我们会有专人跟进，保障发布节奏，为您带来更便捷的登录体验。

感谢通知, 阿里云已经绑定了, 用 bitwarden 一切正常

@tencentcloud 你是真人吗？

@urlk 感觉这个不如密码+MFA 安全呢？

@sansam #16 要这么安全干嘛,他只要不用我每次登录输密码输短信验证码就够了,号真被盗了还有短信验证码保底, 我所有的密码和 passkey 都是存 bitwarden 里的全平台同步, 只在自己的设备上登录,设备配好密码和生物识别管理,除非设备被攻破了 ...

@urlk 我刚刚也是设置了通行密钥，可是使用了通行密钥还是需要 mfa ，那和我自动填充密码有啥区别

阿里云的 passkey 我已经用了半年多了。

感觉就算上了还是很废的，他就算用自家微信扫码登录都要再收一次验证码，更别说一个第三方的……

说 passkey 比一众 MFA 验证码不安全的了解过机制吗？

手机验证码或者各第三方 MFA 这种寄人篱下的东西 你如何保证平台不监守自盗？

passkey 其认证请求虽然存在被伪造的可能性，但这在 passkey 的技术框架中已经考虑到了，所有签名认证过程都需要手动确认（物理密钥 物理接触秘钥确认 不讨论 1p 和 bw 这种软 passkey ），你的意思是你家的猫添了你秘钥一口导致认证被确认 所以安全性比你的 MFA 低吗？

有了 passkey ，我甚至想将一众手机验证码什么的都解绑掉，无奈这在国内平台是不可能的，甚至国外的平台也强制你至少保留邮箱或者手机。即使不能解绑，也不希望手机号邮箱作为 MFA 和 reset password 的方式

passkey 有办法重装后恢复吗？个人经常重装系统。。。

@placeholder 微软不是支持本机 passkey 库同步到微软账号了吗，如果你 passkey 都要上云，建议你 1p 和 bw 方案，这两是跨平台的。我的 1p 和 bw 都是仅限于录入不支持 passkey 登陆的网站，passkey 不上云

@urlk #13 之前好像只有 ram 子账号才可以，现在主账号也可以了

@tencentcloud 官方还翻墙服务啊

@vishun 我用的 1Password 没有问题

@actck 硬 passkey 是 OK ，但软 passkey 就是很容易被复制啊。我觉得支持 passkey 是好事，但最好采取手段把软 passkey ban 掉

才知道阿里云支持了 passkey ，用上了。腾讯云还得等，我们上班时间收手机的，微信扫码真的很不方便，希望 passkey 能解决这个问题吧

@Aaron325 大企业有专门用于工作的跨境专线，个人开设企业也可以买（比较贵）

国际站是支持的，国内站不知道为啥关了。

有什么卵用，在这片土地，任何验证的底层逻辑是“实名验证”，所以不管用什么形式的验证，最后总会回到手机验证码+人脸识别。

@docx #20
这个总比阿里云手机验证码登录 登陆后检测到你的设备是第一次登录需要安全验证 安全验证就是再收一次验证码强

@sansam @actck passkey 对应的是密码登录，和 MFA 不在一个层级。
像是阿里云、群晖这种，你 passkey 登录后还是需要 MFA 或手机验证码两步验证的

嗯？腾讯扫了 v 站的贴子？这么迅速就看到了？

@kenvix 不是一个层级，但也允许做为同一个层级的实现，平台不允许将 passkey 作为 MFA 通关因素只是自作主张脱裤子放屁罢了 人 github 为什么允许？

人平台是那么实现的，我也没觉得有什么问题，毕竟不止一个阿里群辉在这么用，大部分平台都没有实现 [有用户标志的鉴权凭证] ，大部分平台实现的都是你说的这样。

1. github 有用户标志的鉴权凭证 会将 uid 写入 passkey ，无需用户名密码 可以一键登陆，无需其他因素实现 MFA （ github 提供了选项 允许你跳过）
2. 大部分平台，无用户标志的鉴权签名，不写 uid ，需要填写用户名，此类平台一般强制要求其他因素实现 MFA
3. namecheap ，passkey 一键登陆，并且与其他 MFA 因素互斥，不像 github 一样提供选项是否执行其他 MFA 校验

@thtznet 这跟实名认证没关系

@vishun 现在没问题了，可以升级一下插件版本