边界笔记适用范围
非露骨数字素养说明，不把原词当作真实事件，不提供个案法律判断。示例域名均为虚构占位；结论以正常浏览器、正确验证实现和两个不相关网站为前提。
从账号保护问题进入，而不是把原词当事实
“美女被草”在本站只作为性化冒犯用语的检索原词。遭遇冒犯后，如果还收到自称“账号支持”的登录链接，可以先从自己保存的正式入口检查账号，而不是在对方发来的页面提供凭据。本页专讲通行密钥的一项技术边界，不判断谁实施了骚扰。
通行密钥不是把旧密码换成更长的口令。它使用与账号及服务关联的密钥完成验证，通常不需要把可复制的密码或验证码输入网页。不同设备和服务的具体操作入口应按其当前说明查看。
为什么相似页面不能直接借用原凭据
在正常WebAuthn实现中，凭据具有服务方标识RP ID所限定的使用范围，服务端还须校验请求的origin等信息。限制依据是浏览器与验证流程处理的站点身份，不是页面上写着什么品牌名或显示什么头像。
不能把“绑定网站”简化成每个路径都要另一把钥匙，也不能说所有子域都必然隔离。服务可在规范许可范围内安排关联登录。本页只比较两个互不关联的域名，不讨论跨站关联配置或原生应用流程。
原创两页例：同标题并不能转移登录能力
假设你已经为accounts.example建立通行密钥。后来出现一个标题同为“账号支持”的页面，实际域名却是accounts-help.example；题设二者没有合法关联，也没有受损浏览器或服务端。后者不能仅靠复制前者外观，调用前者的通行密钥完成其登录。
图中两个.example域名是教学占位，不是可以访问的举报入口。右栏并不表示浏览器一定出现某个固定报错弹窗；它说明凭据不能因为视觉相似就跨到不相关服务。没有看到密钥选项也可能有别的原因，不能单凭这一现象认定页面恶意。
与手动抄验证码有什么不同
GitHub官方说明把通行密钥的抗钓鱼性与短信、TOTP验证码作了区分：后两类代码仍可能被用户交给仿冒页面。对读者而言，关键差异不是“都是第二次确认”，而是验证结果是否与正确服务的身份连接。
这不是建议把任何网站弹出的生物识别或PIN提示都当成可信。使用从已确认入口发起的正常登录，核对自己正在处理哪个账号。也不要应他人要求新建凭据、分享屏幕或提供恢复材料来“证明自己”。
登录保护不能替代其他处置
通行密钥有助于降低仿冒登录页窃取可转交凭据的风险，但不消除所有威胁。设备被控制、恢复流程被冒用、已经存在的会话或不当授权仍是独立问题；登录方式也不会替你删除骚扰内容。
检查可分两列：一列记录该服务是否支持通行密钥、已设置在哪个自己控制的验证器；另一列记录会话、恢复方式和联系权限。只记录必要状态，不在公开笔记写秘密、真实账号标识或恢复码。需要处理冒犯内容时，再回到本站留证与举报指南。
操作步骤
- 从已有可信入口打开自己的账号设置，核当前服务是否支持通行密钥。
- 按服务说明在自己控制的设备或验证器上建立凭据，确认对应账号。
- 遇到另一个相似页面时先核实际入口，不因相同标题转交密码、验证码或恢复材料。
- 另行检查会话、找回方式及联系权限，记录实际已确认状态。
常见问答
通行密钥就是短信验证码吗？
不是。通行密钥通过与服务关联的密钥验证；短信验证码是可被手动转交的代码。
一个子域换成另一个子域一定不能用吗？
不能一概而论。凭据范围和合法关联配置有规范规则；本页只比较互不关联的两个域名。
设置通行密钥后就不会再被骚扰吗？
不会自动解决骚扰。它保护登录的一部分，消息处理、联系权限和现实支持仍需分别处理。
没有弹出通行密钥选项就证明是假网站吗？
不能。兼容性、账号和凭据配置也可能影响选项，应从可信入口核对，不靠单一界面现象定性。
参考依据
MDN：通行密钥范围与来源验证 · MDN · 核对日期 2026-11-02。RP ID范围、origin校验及设备/恢复环节边界；虚构域名例为原创。
GitHub：通行密钥说明 · GitHub · 核对日期 2026-11-02。站点绑定与短信/TOTP可被钓鱼的差异；不推断其他平台已提供该功能。