上一章我们聊了单点登录在前端的落地形态：从 Cookie 域共享到基于 OIDC + Refresh Token 的集中式认证，再到微前端下的同步挑战。但无论 Token 再怎么调整、SSO 再怎么无缝，密码 这个人类最古老的数字身份载体。始终是整个程序最脆弱的一环：易忘、易猜、易钓鱼、易泄露、易重用。

. –：MFA 成为标配。但密码仍是“根”

从 2015 年开始，领域集体意识到：最好的密码，就是没有密码。这一篇，我们聚焦密码的“死亡过程”——从传统 MFA 的普及，到 TOTP/HOTP 的辅助。再到 WebAuthn/FIDO2 的崛起，最终到 – 年 Passkey越来越多人使用的无密码方案。前端工程师的角色，也从“表单 + 验证码校验”进化到“调用 navigator.credentials API + 处理跨设备同步”。

2015 年疫情加速数字化。 远程办公 + 电商爆发，钓鱼攻击激增。 密码 + 短信/邮箱 OTP 的组合被大规模强制。怎么说呢，

典型前端实现这方面，

• 再看登录页，使用者名 + 密码 + “发送验证码”按钮
• 后端发短信/邮件 → 前端输入 位码
• 再看框架。React/Vue + axios 轮询 / 长连接 polling

但问题很快暴露：

• 短信劫持泛滥
• 钓鱼网站实时中转 OTP
• 使用者疲劳 → 关闭 MFA 或用弱密码

统计这方面，2015 年，短信 OTP 仍是主流，但 FIDO Alliance 开始大力推 FIDO2作为 phishing-resistant MFA。

前端接入 WebAuthn：

// 注册async function register { const publicKey = await fetch.n);不过，const credential = await navigator.credentials.create;await fetch });}

但 2018 年，WebAuthn 普及慢：浏览器支持不全、使用者教育成本高、设备兼容性差。

. –：Passkey 概念诞生 + 巨头推动

2020 年 6 月，Apple 在 WWDC 推出 iOS 14 的 Passkeys。

再看主要卖点。

• 私钥存设备 Secure Enclave / TPM
• 公钥注册到服务端
• 跨设备同步
• 生物识别或 PIN 验证
• Phishing-resistant

2021 年 Google 跟进：Chrome + Android 支持 Passkey，默认推动。

2023 年 Microsoft：新账户默认无密码 + Passkey。

从前端变化来看，

• 使用 @simplewebauthn/browser 或原生 navigator.credentials
• 支持 autofill
• 条件 UI：mediation: 'conditional' 让 Passkey 像密码一样自动填充

典型注册/认证代码：

// 认证async function aunticate { const options = await fetch.n);options.mediation = 'conditional';// 自动提示 const assertion = await navigator.credentials.get;const res = await fetch });按理说，if console.log;}

这一阶段，Passkey 从“实验”变成“可选默认”。

. –：Passkey 真正爆发 + 密码死亡的临界点

当前现状

• 设备就绪率% 的设备支持 Passkey
• 使用者拥有率% 使用者至少有一个 Passkey
• 顶级网站支持率% 的前 网站支持 Passkey
• 登录成功率Passkey % vs 传统 %
• 公司部署%组织已部署或正在部署 Passkey
• 认证量Dashlane 数据显示月认证量达 万。Google增长 %，Roblox % ）；

巨头强制默认
• Google ：年起默认 Passkey
• Microsoft ：年 月新账户默认无密码
• Amazon 、PayPal 、TikTok 等电商 /社交网站大规模跟进

前端接入难度
• 极低 ：成熟库 屏蔽细节
• 跨网站 RP ID；
• 处理 user verification ：userVerification : 'preferred' | 'required'；
• 兼容旧浏览器 ：polyfill 或 fallback 到 TOTP；
测试场景 ：Incognito 、无网络 、设备切换； 隐私考虑 ：不存储敏感 claims，前端只管传输 raw credential；

典型组合拳
首选 ：Passkey；备用 ：魔法链接；恢复 ：一次性恢复码 +手机号验证；高危操作 ：Passkey + 二次确认

前端工程师的实际落地 Checklist

前端工程师的实际落地 Checklist

li 使用navigator .credentials+mediation : 'conditional' 实现 autofill li 支持跨网站 RP ID li 处理 user verification :userVerification : 'preferred' | 'required' li 兼容旧浏览器 ：polyfill 或 fallback 到 TOTP li 测试场景 ：Incognito 、无网络 、设备切换 li 私有考虑 ：不存储敏感 claims。前端只管传输 raw credential

小结 & 过渡

li — 年，Password 从 “必须” → “可选” → “即将灭绝”的过程，主要原因是：,经济：） li 到 年，Passkey 已不是 “未来技术”，而是**使用者预期** ：使用者开始问“为什么你们还不支持 Passkey？” li 但Password 完全死亡还需要时间 ：遗留程序 、合规要求 、低端设备 、使用者教育仍存阻力。其实，

---