题目与适用场景
团队准备上线 Passkey。安全团队偏好不可复制、绑定单一设备的硬件凭证，产品团队担心用户换设备后无法登录，希望使用可跨设备同步的 Passkey。请解释两类凭证的差异、适用威胁模型、恢复方式和服务端能观察到什么。
回答不应把“Passkey”当作单一安全等级。需要区分凭证是否可备份、是否能跨设备使用、企业是否能控制同步提供者，以及丢失设备后的恢复责任。
面试官在考察什么
面试官看你是否理解 Passkey 仍使用 WebAuthn 公钥凭证，区别主要在凭证的备份与同步属性。FIDO 说明同步型 Passkey 可在新设备上使用，设备绑定型 Passkey 则留在单一设备或安全密钥上。W3C WebAuthn 定义了备份资格和备份状态字段，NIST 也提供了 syncable authenticator 的补充指引。
高质量回答会把用户体验、账号恢复、企业生命周期、供应商信任和高保证操作分开讨论，避免把同步等同于“不安全”或把设备绑定等同于“无需恢复”。
30 秒回答框架
“两者都可提供抗钓鱼的公钥认证，但同步型凭证更易跨设备恢复，设备绑定型凭证更适合要求不可复制和集中治理的场景。我会按风险分层：普通登录支持同步型，高权限管理员和高价值操作要求设备绑定或额外硬件凭证。服务端保存凭证 ID、公钥、备份资格与状态，不把这些字段当成绝对证明；同时提供第二凭证、撤销和经过审计的恢复流程。”
分步深入分析
第一步：澄清两类凭证
同步型 Passkey 可由平台或凭证提供者加密同步到用户已注册的设备，换机体验更好。设备绑定型 Passkey 的私钥留在单一设备或硬件安全密钥，复制和跨设备迁移更受限制。两者的实际保证取决于平台、用户验证和企业策略，不能只靠名称判断。
第二步：按威胁与保证等级分层
普通消费者登录通常重视恢复和多设备可用性。管理员、财务审批、密钥管理和高价值交易更关注凭证不可复制、设备管理和离职撤销。可以让普通认证使用同步型，而在敏感动作追加设备绑定凭证或重新验证。
第三步：理解服务端字段的边界
WebAuthn 记录包含 credential ID、公钥、签名计数器相关信息，以及备份资格和备份状态等属性。服务端可以据此制定策略和审计，但不能把备份状态当成用户真实设备库存的完整清单。验证核心仍是挑战、来源、RP ID、公钥签名和用户验证要求。
第四步：设计注册与多凭证
允许用户注册多个凭证，显示创建时间、设备标签和最近使用。高权限角色至少注册一个主凭证和一个受控备用凭证。注册新凭证要经过已有高保证认证，防止被盗会话偷偷绑定攻击者设备。
第五步：建立恢复与撤销
设备绑定凭证丢失时，用户可能完全失去访问，必须依赖第二凭证或更强的人工恢复。同步型凭证减少换机摩擦，却把部分恢复和同步信任交给提供者。所有恢复都应产生通知、冷却期或审批，并支持撤销旧凭证。
第六步：处理企业治理
企业需要知道哪些角色使用何种凭证，员工离职时能否撤销，是否允许个人同步账户，是否必须使用安全密钥。设备管理、身份提供者策略和 WebAuthn RP 配置要协同，不能只在前端显示一个 Passkey 按钮。
第七步：做渐进迁移与兼容
先允许同步型和设备绑定型并存，记录注册、成功率、恢复和支持量。对高风险角色设置迁移期限，对普通用户提供引导。不要立刻删除密码或旧 MFA，直到恢复路径和异常检测在真实环境中稳定。
第八步：验证安全与体验指标
安全指标包括钓鱼接管、凭证绑定异常、恢复滥用和撤销延迟。体验指标包括登录成功率、跨设备成功率、注册完成率、丢失设备恢复时间和支持工单。按角色、平台和地区切片，避免平均值掩盖某类设备的失败。
取舍、边界与信息增益
同步型凭证降低设备丢失和换机成本，但增加对同步提供者、账户恢复和企业政策的依赖。设备绑定型凭证提高不可复制性，却要求备用设备、发放、库存和恢复运营。高保证并不代表所有场景都应牺牲可用性。
备份资格或状态字段有助于策略判断，却不是服务端可以完全验证的物理事实。跨设备同步也不等于私钥以明文传输；讨论时要把实现保证和产品威胁模型分开。
高质量示范回答
“我会把 Passkey 分成同步型和设备绑定型来做风险分层。两者都使用 WebAuthn 公钥认证并能抵抗常见钓鱼，但同步型更适合普通用户的多设备恢复，设备绑定型更适合管理员、密钥管理和高价值操作。
服务端保存 credential ID、公钥、备份资格和状态，用挑战、来源、RP ID 与用户验证完成认证；备份字段用于策略和审计，不能当成完整设备清单。允许多凭证，要求高权限用户注册受控备用凭证。恢复、绑定和撤销都要通知、审批或冷却期。先并存迁移，再用接管事件、恢复时间、登录成功率和支持量决定是否提高强制等级。”
常见错误
- 说同步型 Passkey 就不安全。 应讨论同步提供者、恢复和企业威胁模型。
- 说设备绑定型不需要恢复。 丢失唯一凭证会直接锁定用户。
- 只看一个备份状态字段。 字段不能证明服务端掌握完整设备库存。
- 注册新凭证无需已有认证。 被盗会话可以绑定攻击者设备。
- 所有角色采用同一策略。 管理员和普通用户的保证等级不同。
- 立即删除密码和旧 MFA。 没有稳定恢复路径会制造大规模锁定。
- 忽略离职和个人同步账户。 企业无法执行撤销和合规策略。
- 只测登录成功率。 恢复、撤销和异常绑定同样是安全结果。
追问与参考答案
同步型 Passkey 还能算抗钓鱼吗？
在正确实现的 WebAuthn 流程中，签名仍绑定来源与 RP ID，具备抗钓鱼属性。同步影响的是凭证可迁移和恢复信任，不等于取消来源绑定。
什么时候必须使用设备绑定型？
当策略要求凭证不可复制、企业能管理硬件并愿意承担发放和恢复成本时，例如超级管理员、密钥管理或高价值审批。仍要准备第二凭证。
服务端如何知道用户换了设备？
可通过凭证记录、备份资格和认证事件观察信号，但不能把这些字段当作完整设备清单。设备管理和身份提供者日志可能需要补充。
应该支持多少个凭证？
按账户风险和支持能力设上限，至少保证高权限角色有主备凭证。每次新增、删除和恢复都应有通知与审计。
可以把同步型只用于登录、设备绑定型用于敏感操作吗？
可以，这是常见的分层策略。敏感操作要在同一会话中再次要求相应凭证，并明确失败和恢复路径。