文章目录📖 介绍 📖🏡 演示环境 🏡🔑 从争论到实测：凭据的域名归属 🔑🧭 先把这场争论还原出来🎯 域名绑定：把凭据从一个源搬到另一个源会发生什么🗂️ 凭据在认证器里到底长什么样🧪 一个坑：认证器的两个小门槛🧾 支持"更安全"那一侧的证据🔎 支持"这是陷阱"那一侧的证据📊 有多少网站还没支持⚖️ 我的判断⚓️ 相关链接 ⚓️📖 介绍 📖前几天有两篇文章在开发者圈子里打起来了。一篇说通行密钥是个陷阱，劝大家别用，建议退回去用 TOTP 动态口令加密码。这篇热度很高，评论区吵成一片。另一篇是同行的反驳，标题直接就是通行密钥不是陷阱。热度同样很高。两篇文章我都读完了，观点几乎正对着：一边担心网站以后能限定你"必须用哪家的密码管理器、哪个没改过的系统"，另一边说你多虑了，现实根本不是这样。争论里有几个很关键的词——域名绑定、证明、TOTP 中继钓鱼。这些词决定了两边的结论谁更站得住脚。与其站队，我直接把这件事测了：在本机起了两个本地域名，一个当正经站，一个当钓鱼站。正经站注册通行密钥，然后拿凭据去钓鱼站上试着登录。实测过程、截图和规范原文都摊在下面，最后只回答两个问题：域名绑定到底有多硬，以及“证明开关”的担忧到底站不站得住脚。说明一句：这篇文章只讨论技术原理与实测结果，不针对任何一方的立场做褒贬。📢注意：本文内容为个人学习笔记，仅供参考。