一家拥有数十万注册用户的在线商店突然涌入大量投诉：数千个客户账户被用于其本人从未进行过的交易。经调查发现，原因并非服务器被黑，而是撞库攻击（credential stuffing）——攻击者尝试使用从其他网站数据泄露事件中流出的数百万组邮箱与密码组合，由于大量用户在不同服务中重复使用同一密码，相当一部分尝试得逞。任何防火墙或数据库加密都无法阻止这类攻击，因为攻击者使用的是真实有效的凭证——只是并非账户本人所有。类似事件正是无密码身份验证如今在全球范围内成为商业应用新安全标准的原因，而不再只是一项锦上添花的功能。
什么是无密码身份验证
无密码身份验证是一种不再依赖用户名与密码组合作为主要凭证的登录方式。取而代之的是，系统通过更难被窃取或猜测的方式验证用户身份：存储在用户设备上的唯一加密密钥（密钥/passkey）、指纹或人脸等生物识别数据、发送至已验证邮箱的一次性链接（魔法链接），或通过验证器应用生成的一次性验证码。
这种方式解决了密码的根本弱点：人们往往倾向于选择容易记住（因而也容易被猜到）的密码，在多个服务中重复使用同一密码，并容易上当受骗，在钓鱼网站中输入密码。无密码方式彻底消除了这一整套攻击面，因为已不再存在可通过钓鱼窃取或在其他服务中重复使用的"输入型密钥"。
密码为何成为头号安全威胁
全球范围内大多数重大数据泄露事件，都涉及被窃取、被猜中或从早前泄露事件中重复使用的密码。模仿官方登录页面的钓鱼攻击，至今仍是攻击者最有效的手段之一，因为它利用的是用户的信任，而非系统的技术漏洞。此外，复杂的密码策略（大小写字母、数字、符号组合，至少12位字符）往往反而促使用户把密码写在便利贴上，或使用容易被自动化工具猜中的规律模式，而非像预期那样真正提升安全性。
对企业而言，账户被攻破的影响不仅是直接的经济损失，还包括难以修复的客户信任受损、依据印尼《个人数据保护法》须向数据保护主管机构报告的义务，以及若被证实在保护用户数据方面存在疏漏，可能面临的罚款或法律追责。
无密码身份验证的类型
密钥（FIDO2/WebAuthn）。 这是由苹果、谷歌和微软共同支持的开放标准，密钥将唯一的加密密钥存储在用户设备（手机、笔记本电脑）上，该密钥从不发送至服务器，即使被盗也无法在其他网站上重复使用。用户只需通过指纹、人脸或设备PIN码来解锁即可登录。
应用原生生物识别验证。 移动应用可利用手机内置的指纹传感器或人脸识别功能进行身份验证，初次注册后完全无需密码。
邮箱魔法链接。 用户输入邮箱地址，收到一次性链接，点击后自动登录——适合登录频率较低的应用，比如每月报告仪表盘。
一次性密码（OTP），通过验证器应用或推送通知。 每隔几秒变化一次的一次性验证码，或只需确认的推送通知，常被用作银行等高安全需求应用的额外验证层或密码替代方案。
商业价值，而不仅仅是安全
更高的转化率与用户留存率。 更快捷、无需记忆密码的登录流程，减少了关键环节的阻力——因忘记密码而登录失败的新用户，是移动和网页应用中常见的流失原因之一。
减轻客服团队负担。 密码重置请求是许多商业应用中最常见的客服工单类型之一。取消密码意味着一次性消除大部分此类工单。
账户被盗风险大幅降低。 没有了可通过钓鱼窃取或从其他网站泄露事件中重复利用的密码，大多数账户接管攻击途径都被自动封堵。
需要预先考虑的实施挑战
设备丢失时的恢复流程。 由于密钥存储在设备上，手机或笔记本电脑丢失意味着用户需要一种替代方式来恢复访问权限——通常是通过备用邮箱验证，或在初次注册时单独保存的恢复代码。
老旧设备支持不一。 尽管FIDO2/WebAuthn标准已获得大多数现代设备的支持，但部分使用旧设备或旧浏览器的用户可能仍需要魔法链接等替代方案作为兜底。
对习惯使用密码的用户进行引导。 从旧习惯过渡需要清晰的引导流程，避免用户在首次被要求使用指纹或通过邮箱链接登录（而非像往常一样输入密码）时感到困惑。
面向员工与面向客户的无密码验证
内部员工应用与面向客户的应用，对无密码验证的需求略有不同。对于内部应用——如ERP系统或运营仪表盘——密钥可与企业托管设备验证相结合，让访问权限自动限定在已由IT团队注册和验证的设备上，为内部敏感数据提供额外且相关的安全层。
对于面向客户的应用而言，优先级则有所不同：便捷的引导流程是关键，因为新客户不愿只为了创建一个账户就经历繁琐的设置流程。在这种场景下，将密钥与OTP或魔法链接兜底方案相结合通常最为有效——已习惯使用现代手机生物识别功能的用户可直接使用密钥，而尚不熟悉的用户仍可通过邮箱或短信走便捷路径，而不会感觉一开始就被迫学习新技术。
定制系统 vs 现成身份验证服务商
第三方身份验证服务商对处于早期阶段的应用而言可以是快速的解决方案，但往往随着用户规模增长而订阅费用迅速攀升，且其数据存放在企业无法完全掌控的第三方基础设施中。定制实施能让无密码验证直接与您已有的系统和用户数据库整合，成本随规模增长更加可预测，并能完全掌控账户恢复流程及贴合业务具体需求的安全策略。AFSS团队打造的定制应用，从开发之初就整合了无密码身份验证。
合规与监管压力
推动无密码化的压力也来自监管层面。许多国家的金融与数字支付行业已开始要求比单一密码更强的多因素身份验证，与欧盟PSD2等国际标准保持一致——该标准要求数字交易须采用强客户身份验证。在印尼，《个人数据保护法》也要求数据控制者采取"充分的技术措施"来保护个人数据——这一表述在实践中正被越来越多地解读为须采用比传统密码更强的身份验证方式，尤其是对于存储用户财务或健康数据的应用而言。
实施无密码验证的费用参考
对于已在使用传统密码登录系统的应用而言，添加无密码验证层（密钥加OTP兜底）的费用通常在数千万印尼盾级别，具体取决于现有系统的复杂程度。对于从零开始、在初始设计阶段就采用全无密码架构的新应用而言，由于无需迁移旧系统，额外费用相对于整体应用开发预算而言较小。完整报价请见价格页面。
案例研究：一家在线商店堵住撞库攻击的漏洞
本文开头提到的在线商店，在迁移前平均每月收到200起账户异常报告，其中大部分源于利用其他网站泄露密码进行的撞库攻击。在分析根本原因后，技术团队将密钥作为主要登录方式，并为尚未准备好切换的用户提供邮箱OTP作为兜底方案。
分阶段迁移4个月后，65%的活跃用户已切换至密钥登录，账户被盗接管的报告数量下降超过90%，此前一直是最大工单类别的密码重置类支持工单，也大幅缩减为客服团队可轻松应对的小类别。作为一个意外的积极副作用，产品团队还注意到结账完成率有所提升，因为在支付过程中因登录失败或忘记密码而放弃购物车的用户减少了。
需要跟踪的关键指标
- 密钥/无密码验证的采用率——已从传统密码切换过来的活跃用户比例。
- 账户接管事件——对比迁移前后账户异常报告的数量。
- 密码重置支持工单量——衡量客服团队工作量的减少幅度。
- 登录成功率——确保新流程不会让合法用户更难登录。
- 平均登录时长——对比迁移前后的登录耗时，作为用户体验改善的直接指标。
从哪里开始
到2026年，单靠密码已不再是足够可靠的安全防线——只要密码仍是主要凭证，就存在太多难以弥补的人为漏洞。现在就开始迁移至无密码身份验证的企业，不仅能堵住最常被利用的安全漏洞，还能为用户带来更快捷、更现代化的登录体验。
AFSS团队打造从底层就整合无密码身份验证的商业应用，贴合您具体的安全需求与工作流程。请在价格页面查看费用参考，或直接提交项目获取免费且无需承诺的咨询。
