从理论到实践：Passkeys 真的准备好了吗？

上个月，Joomla 社区杂志的 Philip Walton 写了一篇关于用 Passkeys 登录 Joomla 的文章，没想到引发了大量读者的追问："怎么推广给用户？""手机丢了怎么办？""电脑没有指纹识别器怎么办？""整个生态系统真的成熟了吗？"

这些问题问得太好了，因为在 2026 年的今天，Passkeys 已经不是一个"概念验证"，而是 Joomla 5/6 原生支持的核心功能。但大部分站长对它的了解还停留在"嗯，听说过，好像挺安全的"阶段。

作为 Joomla 开发者，我读完 Philip 的回复后，觉得这些实战经验值得每一个中文 Joomla 用户了解。无论你是管理一个企业级站点还是个人博客，Passkeys 都是你需要认真考虑的安全升级。

一、推广策略：别强推，循序渐进

Philip 给出的黄金法则很实在：提供选项，而不是强制要求。在登录页面把 Passkey 按钮放在用户名/密码框旁边，保留传统密码登录。不想切换的用户完全不受影响。

分阶段推广路线：

第一阶段：站长和管理员先行。后台管理员是安全风险最高的账号——攻击者最想要的就是管理员权限。先让自己和团队的管理员账号全部注册 Passkeys，同时验证恢复机制是否可靠。

第二阶段：邀请积极用户。挑选最活跃、最有信心的用户试水。收集他们的反馈，优化引导文案。

第三阶段：推向所有用户。编写一份简短的"两分钟上手"指南，核心信息就是："正常登录后，前往个人资料，点击添加新 Passkey，按提示操作。"

免费管理员引导插件：Philip 还开发了一个免费的小插件，安装后会在 Joomla 的"用户 → 引导教程"中添加一个"设置你的 Passkey"的互动引导，一步步引导管理员完成创建。该插件适用于 Joomla 5 和 6，卸载不留痕迹。下载地址：softforge.co.uk 可搜索 "plg_system_passkeytour" 获取。

未来展望——去用户名登录：Joomla 社区已经在规划更激进的方案：等浏览器支持普及后，用户无需输入用户名，直接用 Passkey 就能登录，最终甚至可以完全关闭某个账户的密码登录。这由 Joomla 核心开发者 Nicholas Dionysopoulos 提出了原始 issue。

二、手机丢了怎么办？——恢复方案全解

这是最多人担心的问题，也是最容易踩坑的地方。

两种 Passkey 类型，丢失后的命运截然不同：

1. 同步型 Passkeys（保存在 iCloud 钥匙串、Google 密码管理器、Bitwarden 或 1Password 中）：这是推荐大多数用户使用的类型。Passkey 会备份并在受信任设备间同步。丢失手机后，只需用同一账户登录新设备，Passkeys 会自动恢复。FIDO 联盟的说法是"更好地防止丢失"。

2. 设备绑定型 Passkeys（如 YubiKey 安全密钥）：私钥锁定在单一硬件内，无法复制或导出。这是安全优势，但也意味着一旦丢失该密钥，Passkey 就永远无法恢复。

核心原则：绝不依赖单一的 Passkey。建议从一开始就注册至少两到三个 Passkeys，保存在不同设备上，保留一个作为备用。此外，给账户设置恢复邮箱作为额外的安全网。

"打碎玻璃"应急方案——SQL 级恢复：

如果用户没有听建议，丢失了唯一的手机，导致账户被锁死，站长需要紧急救援。由于 Joomla 设计上不允许超级用户通过后台删除其他用户的个人安全凭证，最可靠的修复方法是直接操作数据库。

注意：操作前务必备份数据库！

步骤一：删除用户的 Passkeys（将表前缀 #__ 替换为实际前缀，如 j_）：

DELETE FROM #__webauthn_credentials WHERE user_id = '42';

注意：user_id 在该表中是文本格式，需要加引号。将 42 替换为实际用户 ID。

步骤二：删除用户的 MFA 认证方法：

DELETE FROM #__user_mfa WHERE user_id = 42;

步骤三（可选）：对于从旧版本升级的站点，清空 users 表中残留的旧版两步验证字段：

UPDATE #__users SET otpKey = '', otep = '' WHERE id = 42;

这些步骤已在 Joomla 6.1 上实测验证。由于目前 Joomla 还不支持为单个账户完全关闭密码登录，清空 Passkey 后，用户始终可以通过密码作为后备登录方式。

三、电脑没有指纹识别器？这些替代方案一样好用

如果你的电脑没有摄像头、指纹、蓝牙、NFC，也没有安全密钥，不用担心。Philip 给出了几种实用方案：

1. PIN 码就够了。Windows Hello 使用简单的设备 PIN 码（四位或六位数字）就能解锁 Passkey——你的手指就是密码，人脸也是密码，PIN 同样可以。

2. 用手机作为电脑的登录密钥。这是最灵活的方案：登录时，电脑屏幕显示一个 QR 码，用手机扫描，手机通过蓝牙进行近距离验证（仅验证距离，不传输 Passkey），手机上的 Passkey 完成签名后登录。整个过程 Passkey 从未离开手机。这就是 FIDO 联盟定义的"混合传输"（Hybrid Transport）或跨设备认证。

3. 安全密钥不是 U 盘。YubiKey 等硬件安全密钥看起来像小 USB 棒，但不能用于存储文件。它的唯一作用是加密认证身份，私钥被硬件锁定，永远无法导出。

四、关于 Passkeys 成熟度的诚实评估

有读者直言：PayPal 和亚马逊的 Passkey 体验很差，iOS、Windows 和浏览器都会弹窗要求保存 Passkey，导致用户困惑。这是否说明整个生态系统还不够成熟？

Philip 的回应很坦诚："弹窗疲劳"确实是一个真实存在的问题。现代设备上设置 Passkey 时，可能同时出现操作系统、浏览器和密码管理器三方的保存弹窗，容易让人困惑。

但数据也显示，大型平台正在加速采用：亚马逊已向 1.75 亿用户推广 Passkeys，称登录速度比密码快约 6 倍；PayPal 在美国和英国也已扩展 Passkey 登录。

关键点在于：在自己的 Joomla 网站上，你可以完全掌控体验。不需要解决整个互联网的问题。只是在密码框旁边加一个 Passkey 按钮，保留密码登录，不强制任何人切换。这对没有使用意愿的用户不会造成困扰，只面向愿意使用的人。

五、技术原理速览

简单理解 Passkeys 的工作原理：

创建时：设备生成一对数学关联的密钥。公钥交给网站，存储在 webauthn_credentials 表中；私钥锁死在设备的安全芯片中，永不离身。

登录时：采用挑战-应答机制。网站发送一个随机挑战，设备用私钥签名（需要面容/指纹/PIN 解锁），网站用公钥验证签名。

核心安全优势：整个过程中网站不持有任何秘密，即使数据库被拖库也无密码可偷。同时，Passkey 与特定网站的精确域名绑定——在钓鱼网站上会直接拒绝工作。

对中文 Joomla 用户的意义

Passkeys 在中国可能还需时间普及，但趋势不可逆：

1. 外贸/跨境业务必备：如果你的 Joomla 网站面向海外用户，Passkeys 是提升信任度和用户体验的利器。欧洲用户对数据安全的敏感度极高。

2. 内部管理系统升级：企业中后台、OA 系统的管理员账号最需要这种保护。密码泄露是内部安全事件的首要原因。

3. 为未来做准备：Joomla 社区已经在规划完全无密码登录，提前了解和部署 Passkeys，可以平滑过渡到未来的认证体系。

总结

Passkeys 不是银弹，但它确实是目前最务实的密码替代方案。对于 Joomla 站长来说，部署门槛很低——不需要安装额外扩展，Joomla 5/6 原生支持。推广策略的核心是"可选而非强制"，恢复方案的核心是"永远有后备"。正如 Philip 所说，最终目标是让密码成为历史。而在那一天到来之前，我们至少可以在自己的站点上先迈出这一步。