Passkeys 不是陷阱，别被误导了

Passkeys Are Not a Trap

最近一篇声称 Passkeys 是陷阱的文章在 Hacker News 上引发热议，建议用户放弃 Passkeys 回归 TOTP 和密码。作为长期研究 WebAuthn 和 Passkeys 的技术人员，我必须指出这种观点存在严重误解。绝大多数消费级 Passkeys 根本不启用 Attestation，网站也无法通过它监控你的操作系统或浏览器扩展。文章推荐的 YubiKey 恰恰是支持 Attestation 的设备，逻辑自相矛盾。更关键的是，Passkeys 能从根本上抵御钓鱼攻击，而 TOTP 仍可能被 Evilginx 等工具劫持。放弃 Passkeys 等于主动降低账户安全性。只要选择可信的密码管理器并持续推动行业规范，Passkeys 依然是目前最可靠的认证方案。