你说的 app password 本质是一串 token ，用于为不兼容的、第三方的 app/sdk 提供访问支持。对于 token 你应该限制它使用的权限并严格保密，比如 aws IAM ，如果你知道了某个 root 用户的 ak ，那么可以无视全部的访问权限。所以确实像你说的，app password 需要用户有很强的安全意识，并且严格遵循使用规范，但需要用到这东西的场景也决定了使用者不是纯小白。


@moudy #9

“ passkey 会有这个问题（想象一下小偷在地铁上看了你的解锁密码再顺走手机…..）” “而且没了 passkey 想登陆你的账号可没那么容易。”

passkey 是软件/硬件的安全密钥，很多网站在添加之初就让你添加两个，互为备份。对于硬件密钥，比如 yubikey ，有些型号是有生物认证的，本身也有有 PIN 码进行保护，输错 3 次后只能用 PUK 解锁，而且盗窃者也不知道你的 key 用于那些账户；对于软件 passkey ，现在大部分解锁方式都是生物识别，几乎没有渠道获取你手机访问权限，即便盗窃者获取到了你手机访问权限，在你 passkey app 层面还是需要二次验证的。如果你没有使用生物认证而使用密码的方式，盗窃者需要追踪你一段时间获取到手机密码，还要继续追踪你 直到某一天你再次使用了 passkey 登录验证，并且此时捕获你 passkey app 的密码，这成本相当高昂，几乎不可能实现。