不是高低之分
PSK 与 802.1X 不是简单的强弱之别：PSK 部署快、成本低，适合小微网络与 IoT；802.1X 把认证交给 RADIUS，能做到一人或一设备一凭据、可审计、可即时吊销，适合人员流动大、有合规要求的组织。选型的关键不是哪个更安全，而是「凭据粒度」与「运维能力」是否匹配业务。
基本信息
| PSK 特征 | 全员共享口令，无 RADIUS 依赖 |
|---|---|
| 802.1X 特征 | 一人或一设备一凭据，依赖 RADIUS 与身份源 |
| 吊销能力 | PSK 需换口令，802.1X 可即时吊销 |
| 运维成本 | PSK 低，802.1X 需要证书与身份系统 |
| 常见组合 | 员工 802.1X、访客 Portal、IoT 独立 PSK |
典型使用场景
- 新建园区网络时的准入方案选型
- 从共享口令迁移到 802.1X 的可行性评估
- IoT 装不了 802.1X 客户端时的替代方案（DPSK/MAB）
- 合规审计要求能追溯谁在何时接入
- 咖啡店、门店等小规模场景的方案取舍
典型组合
典型组合
# 员工终端：802.1X（EAP-TLS 证书）
# 访客：开放或 OWE + Portal 短信或授权码
# IoT：每设备独立 PSK（DPSK）或 MAC 白名单
# 打印机等无客户端设备：802.1X 失败后由 MAB 兜底选择参考
| 维度 | PSK | 802.1X |
|---|---|---|
| 部署成本 | 低 | 高，需要 RADIUS 与 PKI |
| 凭据粒度 | 全员共享 | 一人或一设备 |
| 吊销能力 | 换口令才生效 | 即时吊销 |
| 适用场景 | 小微、家庭、IoT | 企业、园区、合规场景 |
混合策略是常态：员工走 802.1X、访客走 Portal、IoT 用独立 PSK，各取所需比强推单一方案更现实。
802.1X 上线前先梳理身份源与终端矩阵：证书颁发、终端兼容、访客流程任何一环没设计好，都会变成长期救火。
全员共享 PSK 在人员离职后很难真正收回，只能靠换口令，而换口令会影响所有人——这是企业规模扩大后必须迁移到 802.1X 的根本原因。
从 PSK 迁移到 802.1X 通常不是一次性切换：常见做法是先双 SSID 并行（旧 PSK 与新的 802.1X 各占一个），按部门或终端批次逐步迁移，稳定运行一段时间后再关闭旧 SSID。