各大科技巨头都在全网大吹特吹 Passkeys（通行密钥），宣称它能彻底终结传统密码，带来无懈可击的双因素安全体验。
但资深安全工程师一眼就能看穿这套公关说辞里的概念偷换：只要你的 Passkey 被勾选了云同步，它在密码学定义上就彻底退化成了单因素凭据。

真正的双因素认证（2FA）必须基于两个相互完全独立的信任信道：
“你知道的（知识因子）”加上“你拥有的（物理持有因子）”。
最初的 FIDO2 / WebAuthn 确实做到了这一点：私钥被焊死在手机或物理 YubiKey 的安全芯片（Secure Enclave / TPM）内部，硬件无法导出，换一台设备你就必须拿出物理钥匙重新碰一下。

但大厂为了照顾普通用户的易用性，推出了所谓的“同步型通行密钥（Synced Passkeys）”：
你的私钥被加密备份到了 iCloud 钥匙串或 Google 密码库，并在你的 MacBook、iPad、iPhone 之间自动同步复制。
在这个瞬间，物理硬件的“唯一绑定性”就已经荡然无存了。

很多人辩解说“我登录时还要刷脸做 Face ID 啊，难道这不是第二因素？”
并不是。生物识别在这里仅仅是在本地打开密码库的一个钥匙孔，它根本没有作为一个独立的加密证明发往服务器。
一旦黑客通过钓鱼或其他手段攻破了你的 Apple ID 或 Google 根账号，他就能在千里之外把所有的 Passkeys 一锅端。

别把方便当成无敌，在涉及核心资产的生产环境后台，独立信道的 TOTP 或离线 YubiKey 依然没有任何替代品。
https://x.com/fishjar/status/2117263763896430689?a=WPx8scPkxhpbRWN_To8&s=35