密码正在退场：无密码登录的三种实现路径

「无密码」不是把密码框藏起来，而是用抗钓鱼的凭据替代它。目前能落地的路径主要有三条。

路径一：FIDO2 安全密钥

硬件密钥（如 YubiKey）把私钥固化在设备里，签名时校验源站域名，因此天然抗钓鱼。适合管理员、财务、研发等高权限人群。

代价是需要采购与分发，且存在丢失风险，必须配套备用密钥策略。

路径二：平台生物识别

通过 WebAuthn 调用系统级的指纹或人脸，凭据存放在设备的安全芯片中。用户体验最好，几乎没有学习成本。

限制是与设备绑定。换机、重装系统后需要重新注册，因此必须有可靠的账号恢复流程。

路径三：设备绑定认证

把认证凭据与受管设备绑定，登录时由设备完成校验。对员工来说接近「打开即用」，同时保留了设备合规检查的能力。

怎么选

别忘了恢复流程

无密码方案最脆弱的地方不是登录，而是「设备丢了怎么办」。恢复流程如果退回短信验证码，整体安全强度就被拉回到了短信水平。建议为恢复流程设计独立的强验证路径，并对恢复事件单独告警。