passkey能不能转移给别人？别只看导出

不能直接转借或复制给他人使用是passkey能不能转移给别人的核心结论。当卖家承诺“把passkey发给你”时，这往往是对技术机制的误解；根据FIDO联盟制定的CXF格式与CXP协议，Passkey本质是绑定在个人设备安全模块内的非对称私钥，旨在解决同一人跨工具迁移而非跨主体转让。在NexSHOPX这类平台上下单前可以先问清账号的凭据形态、收货当天再核验登录状态，把"能不能转 passkey"这个问题落到可执行的验收动作上。

Passkey私钥为何走不出原设备

Passkey采用公钥加密体系：公钥留在平台服务器用于验证身份，私钥则被严格锁定在用户设备的硬件安全芯片或特定密码库内。登录过程并非发送私钥，而是由设备使用私钥对挑战数据进行签名，平台仅校验签名有效性。这种机制决定了卖家声称“把passkey发给你”在技术底层并不成立，因为没有任何官方功能支持将私钥明文导出并转赠第三方。

Passkey非对称加密与签名验证原理图

凭据交换规范仅限同一人迁移

许多用户混淆了“迁移”与“转让”。FIDO联盟制定的CXF格式与CXP协议旨在解决同一个人在不同密码管理器之间安全迁移Passkey的问题，这属于“换工具”而非“换主人”。当前主流终端尚未落地跨平台、跨用户的点对点凭据转移机制。因此，针对“passkey可以导出给别人用吗”这一疑问，答案是否定的；任何声称能直接导出供他人使用的行为均不符合技术规范。

改密码后对方设备Passkey仍在

一个常见的安全盲区是认为修改密码即可切断所有访问路径。Google官方文档指出，修改账号密码并不会撤销或清除已在设备上创建的通行密钥。只要前持有者的设备未在安全中心被手动移除，其依然能通过WebAuthn免密登录。这意味着，若未执行彻底的凭据剥离，“改了密码passkey还在吗”的答案依然是肯定的，原设备仍保有访问权限。

要彻底切断特定设备对账号的Passkey访问权限，必须由管理员或用户手动登录Google账号安全设置页（myaccount.google.com/security）的“您的设备”管理列表，对指定设备会话执行登出并删除对应通行密钥条目，单纯进行海外账号密码修改不足以阻断此路径。

在安全设置中移除旧设备通行密钥操作指引

三种交付形态的关键差异

判断交付有效性的核心判据在于私钥归属权是否真正转移、原持有者是否仍有登录路径以及是否需要原主在场配合，以下表格对比了三种常见形态的技术可行性与验收证据：

交付形态	技术可行性	原持有者能否登录	需原主配合度	验收证据
卖家发送Passkey导出文件	否，私钥不可跨主体传输	是，原设备凭据仍有效	低（但无效）	无，文件无法在新设备独立认证
传统账密+短信/邮件交付	是	是，若未解绑恢复方式	中	登录成功，但存在找回风险
原主删除旧凭据+接手方重签	是，符合规范	仅切断该枚Passkey登录路径，需另行核查恢复入口与会话	高	安全设置中旧设备条目消失，新设备生成新Passkey

正确的交付判据是原主删除旧Passkey并由接手方在自己设备上重新签发。这种方式确保了控制权完全转移，且符合海外账号登录安全的最佳实践。

验证方式默认化带来的新卡点

随着企业级身份验证标准的演进，交接场景正面临新的时间线压力。微软Entra ID自2026年9月1日起将通行密钥设为默认身份验证体验，启用SMS或语音验证的用户在执行MFA时将自动收到注册Passkey的系统引导弹窗。更关键的是，微软将于2027年2月1日退役自家原生短信与语音验证通道。

对于仍依赖短信且没有抗钓鱼凭据的账号，这将导致登录阻断。若继续使用SMS，需通过Security Store自费接入第三方电信服务商，但其具体资费与区域规则尚未公开。在交接过程中，接手方第一次登录时被系统引导注册通行密钥，这枚新密钥绑在谁的设备上，直接决定了后续控制权的归属，务必遵循海外账号首次登录流程以确保在受控环境下完成初始注册。

按场景选做法：接手与团队交接

针对不同情境，应采取差异化的操作策略：

场景	具体做法	动作归属与可逆性	注意事项
个人接手采购账号	1. 在账号安全页查已注册Passkey与设备列表 2. 确认无陌生条目 3. 在自己设备上完成注册	买家自查（可逆）买家注册（可逆）	必须要求原主先删除旧凭据，否则存在共存风险
团队内部交接	1. 管理员在控制台移除离任成员设备凭据 2. 接手人重新签发Passkey	管理员移除（不可逆）接手人签发（可逆）	涉及权限变更，建议遵循海外账号权限交接流程
发现旧密钥仍在	1. 联系原持有者配合移除 2. 自行在安全设置中强制登出可疑设备	原主移除（不可逆，需在场）买家登出（可逆）	部分操作不可逆，需谨慎执行；若原主不配合，应终止交易并走售后

无论何种场景，都请遵守目标平台条款、当地法律与实名/KYC要求。购买账号不能绕过平台审核，合规性始终是第一位的。

常见问题

卖家说能把passkey发给我是真的吗

这是虚假宣传。根据FIDO规范，Passkey私钥绑定在设备硬件中，无法以文件形式导出并发送给他人使用。卖家可能混淆了“迁移”与“转让”，或者试图发送无效的备份数据。真正的交付必须是原主删除凭据后，买家在自己的设备上重新注册一个新的Passkey。任何声称直接发送可用Passkey的行为均违背技术原理。

离职同事没退账号，怎么删掉别人设备上的passkey

需要由管理员或拥有账号权限的用户登录安全设置页面（如Google的myaccount.google.com/security），进入设备管理列表。找到对应的前持有者设备名称，选择移除并删除关联的通行密钥条目。此操作通常需要经过二次验证。仅修改密码无法达到此目的，必须手动清理设备授权记录才能切断访问。

Google账号怎么查看已注册的passkey

可以通过两种方式查看：一是在电脑端打开Chrome浏览器，进入设置中的密码管理器查看通行密钥选项；二是直接访问Google账号安全设置页面，在相关板块下查看已启用的通行密钥及设备信息。定期检查列表有助于发现异常授权，具体界面层级请以各自账号安全页当前列表为准。

改了密码passkey还在吗

是的，依然存在。修改密码仅影响基于密码的登录方式，不会撤销或删除已在物理设备上生成的Passkey私钥。如果前持有者的设备未被从账号安全列表中移除，他们仍可以使用原有的Passkey进行免密登录。因此，改密后必须额外执行“删除旧设备通行密钥”的操作，同时检查备用邮箱和手机号等恢复入口是否已被重置，才能彻底切断访问权限。