两者保护登录的方式不同
TOTP由验证器和网站共同保存一份密钥，双方根据时间独立计算短验证码。用户把验证码输入网站，网站再进行比较。
Passkey基于FIDO和WebAuthn标准，设备保存私钥，网站保存公钥。登录时设备对网站发来的挑战签名，不需要把共享秘密或一次性验证码交给网站。
抗钓鱼能力是关键差异
TOTP验证码可以被用户误填到仿冒网站，攻击者还可能实时转发验证码登录真实网站。因此NIST与FIDO资料都不把普通OTP视为抗钓鱼认证。
Passkey凭证与注册的网站域名绑定，仿冒域名无法请求真实网站的凭证，因此更能抵抗传统钓鱼和实时中间人窃取验证码。
迁移和恢复体验
TOTP可以通过重新绑定、加密同步或导出迁移，但二维码与密钥副本必须严格保护。Passkey可以绑定单一设备，也可以由支持的凭证提供商加密同步。
两种方式都需要提前规划账户恢复。同步账户本身的安全性、备用设备和恢复流程，会影响最终风险。
应该优先选择哪一种
- 网站支持Passkey并且设备环境成熟时，可优先启用Passkey。
- 网站只支持验证器验证码时，TOTP仍明显优于只用密码。
- 高价值账户可以同时登记多个Passkey或安全密钥，并保留受控恢复方式。
- 不要在新方式测试成功前删除现有TOTP和恢复代码。
TOTP仍然有现实价值
TOTP标准成熟、离线可用且跨平台兼容，许多网站部署成本较低。它不是过时到不能使用，而是不能被误认为完全抗钓鱼。
用户仍应核对域名、使用密码管理器减少误填，并对重要账户逐步采用抗钓鱼认证。
常见问题
启用Passkey后还需要TOTP吗？
取决于网站策略和你的恢复方案。确认Passkey能在备用设备上使用并完成真实登录前，不要急着移除TOTP。
Passkey就是手机指纹吗？
不是。指纹、面容或设备PIN通常用于本地解锁Passkey私钥；网站验证的是密码学签名，不会收到你的生物特征数据。