密码凭证 (ROPC)

密码凭证（Password Credential）是信息安全领域中最基础的身份认证要素，指用户为证明其合法身份而持有的秘密字符串或令牌。它不仅是登录系统的钥匙，更是连接物理世界与数字空间的信任锚点。在现代架构中，密码凭证已从单纯的明文字符串演变为经过哈希、加盐处理后的存储形式，并常与多因素认证（MFA）结合，形成纵深防御体系。其核心使命在于平衡用户体验与安全性，防止未授权访问及数据泄露。

在现代计算架构中，密码凭证扮演着‘数字身份’的核心角色，是构建零信任安全模型的第一道防线。随着云原生与微服务架构的普及，凭证管理已从简单的本地存储转向集中式的密钥管理系统（KMS）和身份提供商（IdP）。其生态地位体现在它是所有应用层交互的起点，无论是单点登录（SSO）还是 API 网关鉴权，均依赖其有效性。然而，随着勒索软件与钓鱼攻击的升级，传统密码凭证的脆弱性日益凸显，促使行业向无密码认证（Passwordless）转型，强调凭证的生成、存储与轮换全生命周期管理。