1. 课程导入与无密码认证全景

在企业身份认证的日常运维中，密码几乎是最熟悉也最令人头疼的一环。员工需要记住十几个甚至几十个系统的口令，于是出现复用、写在便签上、存进浏览器等行为；IT 团队则要不断应对撞库、钓鱼、暴力破解和口令重置工单。根据业界多年公开的安全报告，凭证泄露长期占据数据泄露初始入口的首位，而其中绝大多数又与口令被窃取、复用或钓鱼直接相关。这说明问题并不在于"密码设得不够复杂"，而在于"以共享秘密作为身份凭证"这一机制本身存在结构性缺陷。

本课程围绕 Passkey 与 FIDO2 展开，目标不是再讲一遍"密码要复杂"，而是理解并落地一套以公钥密码学为基础的无密码认证体系。要建立全景认知，先要区分几个容易混淆的概念：FIDO2 是一套标准规范集合，由 W3C 的 WebAuthn 与 FIDO 联盟的 CTAP2 共同组成；Passkey 则是基于 FIDO2 构建、面向普通用户的可同步凭证形态，它把私钥保存在设备安全区或云密钥链中，并通过生物识别或设备 PIN 解锁使用。换句话说，FIDO2 是"协议底座"，Passkey 是"产品化体验"。

理解无密码认证的演进脉络，有助于判断企业当前处于哪个阶段。早期是纯口令加短信验证码，安全性依赖用户行为；随后出现基于 TOTP 的动态口令和推送确认，安全性提升但仍可被实时钓鱼代理绕过；再往后是基于 FIDO2 的安全密钥（如 USB/NFC 硬件密钥），具备抗钓鱼能力，但需要携带额外硬件；最终演进到 Passkey，把抗钓鱼能力与跨设备同步体验结合起来。这条脉络的核心变化是：认证凭据从"用户知道什么"转向"用户拥有什么并解锁什么"，且验证过程不再向服务器发送任何可被复用的秘密。

从企业视角看，引入 Passkey 与 FIDO2 并不是简单地"换一种登录方式"，而是对身份信任链的重构。传统口令认证中，服务器保存口令哈希，验证时比对哈希值，一旦数据库泄露，攻击者可离线破解；而在 FIDO2 流程中，注册时认证器生成一对密钥，私钥永不离开设备，公钥上传给服务器；登录时服务器下发随机挑战，认证器用私钥签名，服务器用公钥验签。整个过程中没有任何可被重放的秘密在网络上传输，因此钓鱼网站即使拿到挑战也无法伪造签名，因为它拿不到对应私钥。

本课程的学习地图可以按"认知—选型—落地—运维"四个层次展开。前几章先建立概念与标准全景，理解 WebAuthn 与 CTAP2 的分工、Passkey 与硬件密钥的差异；随后进入企业选型，讨论哪些场景适合优先迁移，例如高权限管理员账户、VPN 与 SSO 入口、云控制台等；再进入落地实施，涉及身份提供商（IdP）配置、注册与登录流程对接、存量口令的过渡策略；最后是运维与治理，包括凭证生命周期管理、丢失设备恢复、审计日志与合规映射。每一层都会给出可操作的参数、流程与判断依据，而不是停留在概念介绍。