WebAuthn
密码泄露、短信被劫持、钓鱼站长得一模一样——传统登录像把一把会复制的钥匙，每次都交给对方检查。WebAuthn 换了一种玩法：网站只认「当场盖的章」，章不能带走，假门牌也盖不出来。
一句话：WebAuthn 用「设备持有私钥、网站保存公钥、凭据绑定域名」替代共享密码，天生更抗钓鱼和撞库。
是什么
它是浏览器侧的 Web 认证标准，也是 FIDO2 / Passkey 的底座。注册时，认证器（手机安全芯片、本机生物识别模块、硬件 Key 等）为该网站域名生成密钥对：私钥不出设备，公钥交给服务器。登录时服务器发一次性挑战，用户本地确认（指纹/面容/PIN）后签名，服务器验签即可。
为什么重要
凭据绑定真实 origin，钓鱼页即使像素级模仿，也拿不到有效签名；服务器不存可复用的共享秘密，库被拖也难直接撞进账户。弱密码、复用、短信劫持的攻击面随之缩小。当然设备丢失与账户恢复流程仍要设计好——没有银弹，只有更短的脆弱路径。
怎么理解
密码是「可复制的钥匙」；WebAuthn 是「现场盖章」。单据每次不同，旧签名不能重放；假门牌对不上站点身份。Passkey 则是把这套体验产品化，有的绑单设备，有的经受保护的账户在设备间同步。
一句话记住
别再把同一把钥匙交给全世界检查——让设备现场盖章，网站只验章。
