密码短语和密码有什么不同？

原理上是同一种东西，区别在于设置思路。密码常常混合多种字符、设得较短；密码短语则把随机选的多个单词连起来，靠长度增强。暴力破解所需的时间每多一位就成倍增长，所以长度对强度更有效。6 个随机单词与 12 位字母数字符号强度几乎相同，而且能记住。

密码短语需要几个单词？

随机选的单词 4 个是下限，6 个在目前就足够了。4 个单词约等于 8 位字母数字符号，6 个约等于 12 位。不过这是从词典或随机数中随机抽取单词时的情况。自己想出来的单词会偏向有意义的关联，比预想的弱。减少单词数再用符号弥补，会抵消靠长度获得的优势，请避免。

可以用谚语或喜欢的歌词做密码短语吗？

请避免。虽然够长，但有名的句子和短语原样收录在攻击方的字典里。歌词、电影台词、书中段落、谚语都应当默认已被收录。把字母换成符号（a 换成 @、o 换成 0 等）的小技巧，连同替换规则都已内置在攻击工具中，几乎不增加强度。随机排列毫无关联的单词更安全。

密码应该定期更换吗？

按期限定期更换，现在主要的指南已不推荐。强制更换会导致末尾数字每次加 1 这类可预测的改法，反而变弱。应该更换的时机，是收到泄露通知、自己的邮箱地址出现在泄露名单中、丢失设备等有具体迹象的时候。其余时间，设一个长密码一直使用，再加上双重验证更有效。

安全发布日期 2026-09-13阅读时间约 7 分钟

什么是密码短语（Passphrase）｜记得住又难以破解的密码怎么设

按“大小写字母、数字和符号混合，8 位以上”设出来的密码，难记却并不算强。决定强度的是长度，而不是字符种类的多少。本文整理用多个单词拼接来增加长度的密码短语的设法，以及它与随机字符串如何区分使用。

密码短语是用“长度”来增强的方法

密码短语是把多个单词连起来，做成一个很长的秘密。不是混入符号把它弄短，而是随机排列记得住的单词来增加位数。暴力破解所需的时间每多一位就成倍增长，所以长度对强度更有效。

设法	长度示例	组合数的大致规模	好不好记
字母数字符号 8 位	8 位	约 52 比特	难记
字母数字符号 12 位	12 位	约 79 比特	几乎不可能
字母数字符号 16 位	16 位	约 105 比特	不可能
随机单词 4 个	20～28 位	约 52 比特	记得住
随机单词 6 个	30～40 位	约 78 比特	稍加努力就能记住

值得注意的是，6 个单词与 12 位字母数字符号的强度几乎相同。一个记得住，另一个记不住。记不记得住在实际使用中非常重要，记不住的密码最后不是写在便利贴上，就是在其他网站重复使用。

密码短语的设法

1
随机选 4～6 个单词
从词典或应用的单词表中，用骰子或随机数抽取。如果自己挑“喜欢的 6 个词”，会偏向自己的爱好或工作，更容易被猜到。
2
确认单词之间没有意义关联
如果像“lan·tian·hao kan（蓝·天·好看）”这样连成了一句话，就重新抽。毫无关系的单词排在一起更强，而且出人意料地更好记。
3
决定连接方式
用连字符或句点连接，或者把每个单词的首字母大写。加上分隔符输入时不容易出错。这里的花样对强度贡献不大，以方便输入为优先。
4
配合网站的限制
在“必须包含符号”“最多 16 位”这类有限制的网站，密码短语放不进去。这时就按下一节的方法改用随机字符串。
5
前几天写下来放在手边
在记住之前的几天里，写在纸上放在别人看不到的地方。很多情况下，被锁定后重新设置的风险比短期的纸条更大。

用中文设置时，可以把单词写成拼音（不带声调）排列，或者先确认服务是否能直接输入中文。有些界面无法使用中文输入法（如开机时的磁盘加密或 BIOS），所以用于解锁设备的密码短语，写成拼音更安全。

密码短语适合与不适合的场景

不需要把所有密码都改成密码短语。比较现实的做法是，只把必须靠自己脑子记住的设成密码短语，其余的交给密码管理器。

用途	推荐	理由
密码管理器的主密码	密码短语	每天输入，又不能存放在任何地方
电脑或手机的登录	密码短语	在打开密码管理器之前就需要
磁盘加密、备份的密钥	密码短语	忘了就无法恢复
各个网络服务	随机字符串	保存在密码管理器里，不需要记
业务系统的共用账号	随机字符串	不要增加需要记住的人，先决定共享方式

共用账号的问题不在于记不记得住，而在于怎么交给别人。不贴在邮件或聊天里的传递方法，整理在安全共享密码的方法中。

各个网站用的随机字符串，可以用密码生成工具来生成。长度可在 4～64 位之间选择，大写字母、小写字母、数字、符号可以分别开关，能配合“不能用符号”“最多 12 位”等网站的限制。一次生成多个候选，选一个好输入的，直接保存到密码管理器。前提是不要试图去记生成的字符串。

常见的错误

使用谚语、歌词、电影台词。有名的句子原样收录在字典里，再长也会被瞬间破解。
把字母换成符号（a 换成 @、o 换成 0 等）。这种替换已经内置在攻击工具里，几乎不增加强度。
在末尾加上数字和符号来满足条件。“Password1!”这类组合是最先被尝试的。
在多个服务中使用同一个密码短语。一处泄露，同样的组合就会被拿到别处尝试。
减少单词数再用符号弥补。少于 4 个单词，靠长度获得的优势就没有了。

重复使用的危险，与自己密码的强度无关。不管多长，如果泄露的服务方用明文保存，也毫无意义。自己的邮箱地址是否出现在泄露名单中，可以用确认密码是否泄露的方法查询。

已不再建议定期更换密码

“每 90 天更换一次”的做法曾经长期普遍。现在主要的指南已不再建议定期更换。因为强制更换会让用户用好记的规律一点点改（比如把末尾的数字每次加 1），反而更容易被猜到。

有泄露迹象时更换，这是最有效的时机。
收到服务的泄露通知后，更换该服务以及所有重复使用了同一密码的地方。
丢失设备、与共享对象的关系发生变化等，人的方面发生变化时更换。
与其按期限更换，不如设一个长密码一直使用，再加上双重验证，更安全。

设法统一之后，剩下的就是保管问题。只记住一个主密码短语，其余都放进密码管理器，是最不容易出问题的组合。导入步骤整理在密码管理器的使用方法中。

常见问题

密码短语和密码有什么不同？: 原理上是同一种东西，区别在于设置思路。密码常常混合多种字符、设得较短；密码短语则把随机选的多个单词连起来，靠长度增强。暴力破解所需的时间每多一位就成倍增长，所以长度对强度更有效。6 个随机单词与 12 位字母数字符号强度几乎相同，而且能记住。
密码短语需要几个单词？: 随机选的单词 4 个是下限，6 个在目前就足够了。4 个单词约等于 8 位字母数字符号，6 个约等于 12 位。不过这是从词典或随机数中随机抽取单词时的情况。自己想出来的单词会偏向有意义的关联，比预想的弱。减少单词数再用符号弥补，会抵消靠长度获得的优势，请避免。
可以用谚语或喜欢的歌词做密码短语吗？: 请避免。虽然够长，但有名的句子和短语原样收录在攻击方的字典里。歌词、电影台词、书中段落、谚语都应当默认已被收录。把字母换成符号（a 换成 @、o 换成 0 等）的小技巧，连同替换规则都已内置在攻击工具中，几乎不增加强度。随机排列毫无关联的单词更安全。
密码应该定期更换吗？: 按期限定期更换，现在主要的指南已不推荐。强制更换会导致末尾数字每次加 1 这类可预测的改法，反而变弱。应该更换的时机，是收到泄露通知、自己的邮箱地址出现在泄露名单中、丢失设备等有具体迹象的时候。其余时间，设一个长密码一直使用，再加上双重验证更有效。