Passkey 无密码登录 - 彻底告别手动输入
登录流程
在已注册 Passkey 的网站上登录：
- 打开网站登录页
- 网站检测到有 Passkey 可用，显示"使用 Passkey 登录"选项（或自动弹出）
- KeePassDX 凭证提供程序自动响应
- 弹出用户验证（生物识别 / 设备凭证 / 主密码前缀）
- 验证通过 → KeePassDX 用私钥对网站发来的 challenge 签名
- 签名返回给网站 → 网站验证 → 登录成功
整个过程不需要手动输入任何密码或用户名。
用户验证（UV）机制
Passkey 登录时会触发 KeePassDX 的用户验证（User Verification）流程。这是 WebAuthn 标准的强制要求——确保发起签名的是 KeePassDX 数据库的合法拥有者。
验证方式取决于你的设置和数据库状态：
| 数据库状态 | 用户验证方式 |
|---|---|
| 数据库已关闭 | 打开数据库 + UV 验证 |
| 数据库已打开（UV 模式启用） | 直接执行 UV 验证 |
| 数据库已打开（UV 模式禁用） | 直接登录（有安全风险，不推荐） |
UV 验证的具体方法可以选：
- 设备凭证（PIN/图案/密码）—— 如果设置了锁屏
- 生物识别（指纹/面容）—— 更安全
- 主密码前缀（输入主密码的前 4 位）—— 快速且不需要锁屏
安全保证
无法在假网站触发
Passkey 最强大的安全特性是域名绑定：
- 你在
github.com创建的 Passkey 密钥，只能在github.com上使用 - 攻击者即使复制了你的私钥，也无法在伪装成 GitHub 的钓鱼网站上登录
- 钓鱼网站无法生成正确的 WebAuthn challenge（因为 challenge 里包含了域名）
这彻底杜绝了钓鱼攻击——这是密码做不到的。
服务器被盗也不怕
网站服务器被盗只会泄露公钥——公钥本来就是公开的，不能用于登录。私钥只存在于你的 KeePassDX 数据库里。
设备不在线也能用吗
Passkey 的签名计算完全在本地完成，不需要联网。但需要网站能够发送 WebAuthn challenge——这意味着需要网络连接才能和网站通信。签名计算本身是离线的。
和密码、2FA 共存
Passkey 是对传统密码和 2FA 的替代，不是补充。大多数网站支持：
- 密码 + 2FA（传统方式）
- Passkey（无密码方式，更安全）
你可以：
- 给每个网站选择最适合的登录方式
- 同时保留密码和 Passkey（Passkey 优先，密码作为备份）
- 逐步把所有重要网站迁到 Passkey
常见问题
Passkey 丢了怎么办
Passkey 私钥存在 KeePassDX 数据库里，所以：
- KeePassDX 数据库丢了 = Passkey 全没了
- 解决办法：定期备份 KeePassDX 数据库（这和密码管理器的基本要求一致）
- 某些网站支持"恢复密钥"或"备用登录方式"，设置 Passkey 时同时配置好
多设备同步
Passkey 可以通过同步 KeePassDX 数据库到其他设备（电脑、另一台手机）来实现多设备使用。在 KeePassXC（桌面端）里打开同一个 .kdbx 文件，也能使用同一个 Passkey。