作者认为 passkey 在技术上很优秀：它绑定创建它的站点，因此伪造登录页钓不到凭证；服务端泄露也无法反推出私钥。但这也决定了它更适合企业环境，而非个人用户。对个人来说最大的风险不是中间人攻击，而是永久失去账号、被自动化风控封禁与设备丢失；账号安全仍由最弱的恢复方式决定——短信、邮件链接、密保问题只要有一条薄弱，锁定风险就还在。硬件密钥更麻烦：passkey 在设计上只能添加或删除、无法迁移备份，想防止设备丢失就得买两三把钥匙并把每个站点逐个登记，随账号数量增长成本迅速上升。文章还吐槽了登录时反复被劝说开启 passkey、只能去设置深处找开关的体验。