Passkey 不是陷阱：一次对恐慌叙事的逐条回应 — Hacker News 中文摘要

📋 概述

Scott Helme 回应一篇流传甚广、连续多日挂在 Hacker News 上的文章《Passkey 是陷阱，别用》，后者面向「非技术的网络公民」，主张放弃 passkey、退回 TOTP 验证码与密码。那篇文章的核心论点是 passkey 支持「认证声明（attestation）」，网站可以要求对其来源给出密码学证明，作者称之为「隐藏旋钮」，并推论网站会逐步拧紧，最终只允许在未改动的、受认可的系统与软件上登录。Scott 的反驳是：绝大多数人用的是同步型 passkey，存在 iCloud 钥匙串、Google 密码管理器、1Password、Bitwarden 里，这类 passkey 根本不向网站提供任何认证声明——网站问也只会返回空；他自己写过开源的 passkey 库，如果某家面向消费者的网站明天只接受带认证声明的 passkey，它会立刻把几乎全部用户锁在门外，而且行业对消费级网站的指导多年来本就是不要请求认证声明。