物联网设备换了主人，身份与权限如何交接？

物联网设备能够证明自己是正品，并不代表任何扫码者都有权接管它。设备转售或换租时，清空屏幕配置也不意味着旧账号失去访问能力。身份建立与权限交接必须分别形成闭环。

出厂身份解决的是连接对象是否持有可信凭据。若所有设备共用同一私钥，一台样机泄露就可能危及整批设备，后台也难以仅隔离单个受损终端。为每台设备配置独立密钥，并由证书或其他受信机制绑定其标识，可以缩小泄露影响范围。关键前提是验证真正覆盖私钥持有证明，例如对新鲜挑战签名，而不是只上传一份可复制的证书文件。证书通常可以公开读取，它证明绑定关系的能力必须与对应私钥参与的认证过程结合，才不会把复制标识误认成真实设备。

密钥保护还要覆盖生成与注入路径。若私钥先以明文经过普通生产日志，再导入安全芯片，最终的不可导出属性也不能消除先前副本。可以在目标受保护器件内生成密钥，只导出公钥供签发，也可以采用有审计边界的安全注入方案。两者的选择取决于产线能力、器件支持及返修流程。调试与备份机制也须纳入保护边界。认证服务还需逐台记录凭据状态，以便某个设备泄露后采取定向处置，而非被迫停用整批产品。

首次认领解决的则是谁有权把设备加入某个账户。设备认证成功后，后台仍应核对一次性认领凭证、当前归属以及必要的现场持有证明。包装上的公开序列号不宜直接充当长期控制口令，因为它可能被拍照、转发或提前获取。一次性凭证应有使用次数和有效条件，兑换完成后就不能被旧照片再次使用。设备还应验证所连接的服务是否可信，避免把绑定流程变成向伪造站点提交凭据。产品身份、网络准入和账户归属可以关联，但各自的授权范围必须清楚。

所有权迁移的难点在于旧能力可能散落在多个位置。旧账号的访问令牌、消息主题授权、设备侧长期连接以及第三方共享权限，都可能在解绑后继续有效。若后台仅修改所有者字段，却让授权缓存继续使用旧结果，界面显示交接完成也不能代表控制权已经转移。迁移流程应先确定哪些访问必须立即停止，再更新归属与权限版本，并让各访问入口核验新状态。缓存失效时限决定旧权限可能存活多久，须明确验证。

物联网服务可将归属版本绑定到授权决策，迁移后拒绝旧版本的访问能力；已经建立的长连接也要主动结束或重新授权，不能只检查下次登录。若设备长期离线，云端无法保证本机立即接收撤权通知，此时应把交接状态标为待设备确认，或通过受控的本地交接流程处理。尤其不能先把新账号标成完全接管，再允许旧的离线控制凭据继续生效。对于需要连续运行的设备，可以设置有限的过渡窗口，但旧方能做什么、能持续多久，必须由实际策略约束。

恢复出厂设置与撤销云端权限应形成明确配对。本地清除网络参数后，云端若仍保留原有绑定，新主人可能无法认领；反过来，云端解除绑定后，设备若还接受旧的本地访问密钥，现场控制仍可能留在前任手里。并非所有出厂身份都要重置，制造身份往往需要保留，而用户配置、租户授权和可更新访问凭据应按职责分别处理。验收应逐一用旧账号、旧令牌和旧本地凭据尝试访问，核对离线再上线后的撤权结果。

可信交接需要保留可验证的设备身份，同时撤销前任持有的访问能力。把认领授权与迁移撤权分别做实，设备归属才会从界面状态变成可执行的权限边界。