一句话定义：WebAuthn（Web Authentication，网页认证标准）是一套由 W3C 与 FIDO 联盟推动的浏览器认证规范，Passkeys（通行密钥）是它最常见的落地形态——用设备里的一对密钥取代密码，登录时你不再"说出"秘密，而是"用私钥签个名"。
它到底在干什么
注册时，你的设备或浏览器现场生成一对非对称密钥：公钥（public key）交给网站存着，私钥（private key）永远留在你这边，不再离开。登录时，网站发来一段一次性随机字符串（challenge），设备用私钥对它签名，网站拿公钥一验，对上了就放行。
打个比方：你刻了一枚独一无二的印章，把印模留给网站，印章自己锁进保险箱。每次登录，网站现场写一句随机的话让你盖，网站拿印模比对。别人偷走上一次盖的章也没用，因为每次的话都不一样。
凭什么就能证明"你是你"
三个条件同时成立，缺一不可：
1. 私钥拿不到。 它存在设备的安全区域里，不会明文传给网站。网站数据库被拖走，拿到的也只是公钥。
2. 签名绑死了域名。 签名内容里包含发起方的域名（origin），钓鱼站域名不同，浏览器直接拒绝，就算硬签也验不过。
3. 必须你本人在场。 调用私钥前要用指纹、人脸或系统 PIN 解锁，设备捡到了也白搭。
私钥到底存在哪
| 存放方式 | 典型场景 | 特点 |
|---|---|---|
| 设备安全芯片 / 系统钥匙串 | 手机、带指纹的笔记本 | 默认方式，最方便 |
| 平台账号端到端加密同步 | 苹果、谷歌、微软的账号体系 | 换新设备自动带过去 |
| 外接硬件安全密钥 | 高安全要求的账号 | 物理持有，最抗钓鱼 |
各平台具体支持的同步范围和恢复方式有差异，以官方页面为准。
和相邻概念的区别
- 密码：服务器那边也存着一份秘密（哈希），撞库、钓鱼、暴力破解都有空间。Passkeys 那边只有公钥，泄了也没用。
- 双因素验证（2FA，如短信验证码、TOTP）：本质还是"密码 + 另一样东西"，密码仍然是主凭据。Passkeys 可以单独使用，而且"持有设备 + 本地解锁"本身已经构成两个因素。
- OAuth / 第三方登录：那是把身份判断委托给别家平台，你依赖的还是对方账号。Passkeys 是你和这个网站之间的直接凭据，中间没有第三方替你作证。
对普通人的意义
不用记密码，也基本不怕钓鱼——假网站连让你盖印的机会都拿不到。真正的风险点在"恢复"：设备全丢怎么办，各家做法不一样。建议至少配一台备用设备，或把恢复码存在靠谱的地方。
对从业者的意义
接入 WebAuthn 不是调个接口就完事：挑战的生成与校验、凭据的存储与绑定、账户恢复流程、老设备的降级方案，都得自己设计。对自动化和 Agent 场景还有一层新约束——Passkeys 要求"人"在场解锁，无头测试、机器人代登录这类需求得提前想好绕行或托管方案，别等上线才发现跑不通。