无密码：另一种地狱？
现代身份认证正夹在不断增长的安全威胁与日益痛苦的用户体验之间。评论者分享了多步骤登录、短会话超时、强制 2FA 和“magic links”把买东西或打开笔记之类的简单任务变成几分钟仪式的经历，同时指出银行和平台常借这种摩擦把责任转移给用户。许多人认为 passkeys、硬件令牌和更好的标准有前景，但仍怀疑无密码方案和生物识别是否真的能降低复杂度，或避免新的锁定和恢复噩梦。
讨论范围
- 讨论很快从“无密码地狱”扩展到：犯罪与“坏人”、2FA 蔓延、会话超时、passkeys/生物识别、硬件密钥，以及可用性/可访问性问题。
- 许多评论认为，核心问题不是密码本身，而是安全措施如何被外挂式地叠加上去，并且实现方式不一致。
犯罪、“坏人”，以及为什么我们“不能拥有好东西”
- 一派将安全升级和监控升级归咎于小偷和“坏人”；有些人甚至主张极其严厉的惩罚和永久排除。
- 另一派强调根本原因：贫困、不平等、社会政策（医疗、毒品、教育）以及社会凝聚力的丧失。
- 对数据和案例存在分歧（例如，瑞典福利国家但犯罪率仍高）。
- 唯一的共识是某种保护是必要的，但应侧重惩罚还是预防仍有争议。
密码、2FA 与可用性摩擦
- 许多人表示，普通用户会选择很差的密码并拒绝使用密码管理器，这迫使网站转向 2FA、短信验证码和“无密码”流程。
- 也有人认为银行和平台把欺诈风险转嫁给用户：2FA 和 PIN 变成拒绝退款的借口。
- 对多步骤电商流程（eBay → PayPal → 银行应用 → 3DS）、因邮件延迟而失效的 magic links，以及被强制启用的 2FA，存在强烈不满。
- 监管驱动（欧盟 PSD2 / 强客户认证，3DS）被提及为摩擦来源。
会话、重置与安全价值
- 对极短会话有效期存在争论：有人认为这只是毫无意义的 UX 损伤，几乎没有安全收益；也有人指出某些具体场景（医疗、共享机器）确有必要。
- 还有人担心，许多服务允许通过邮件立即重置密码/2FA，有时甚至不会使现有会话失效，也不会增加冷却期。
Passkeys、生物识别与硬件密钥
- 几位评论者原本期待对 passkeys 有更深入的批评；但实际讨论中，它们更多被看作“未来也许会更好”，同时仍有未解问题：设备丢失、跨设备使用、生态锁定。
- 生物识别：
- 支持方：方便；当本地存储在安全区域并作为强密钥的门禁时，安全性足够好。
- 怀疑方：可被伪造、不可撤销，而且常被当作安全手段，实际上只是为了便利。
- 硬件密钥（U2F/WebAuthn）因能抵御钓鱼而受到称赞，但备份、设备丢失、凭证槽位有限以及管理开销都是真实障碍。
可访问性、老年用户与账户锁定
- 复杂的认证流程和无密码方案（例如 Notion 反复发送邮件验证码）被认为几乎无法让老年人、认知受损用户或技术素养有限的人使用。
- 多个关于账户被锁死的恐怖故事都涉及丢失手机/MFA、恢复代码，或被强制启用 2FA 但恢复路径脆弱（例如 GitHub、Amazon、Google）。
对更好设计与标准的呼吁
- 需求包括：
- 针对密码、MFA、恢复和基于风险的挑战，制定一致、明确的标准。
- 让用户有更多自主权来选择安全级别（例如，低风险账户可选择退出 2FA）。
- 对低风险操作采用长时效、低摩擦的会话，仅在高风险变更时进行更强验证。