谢谢 @Be0
在大多数当前的实现中，密钥尚未以这种方式部署。它们被视为独立于双因素身份验证（2FA），请参阅此关于YouTube 方法的报告。我认为行业将慢慢适应这一点。
要实现您期望的功能，需要进行两项更改：
步骤 1：允许将密钥用作双因素身份验证（目前，如您所注意到的，安全密钥需要单独注册）
步骤 2：当用户添加了密钥时，强制在密码登录时进行双因素身份验证
步骤 1 对我来说是合理的，而且不会造成干扰。步骤 2 也是合理的，但会造成一些干扰，如果用户从浏览器中删除了密钥（或在给定设备上没有密钥），则访问将被阻止。
但我认为值得研究一下。