如何设置安全的密码｜长度、字符种类的思路与管理技巧
很多人以为“加上符号就安全了”，但决定密码强度的最大因素不是字符种类，而是长度。本文用组合数量比较实际差距，介绍应避免的设置方式，以及设好密码之后如何管理。
决定强度的是“长度”而不是字符种类
暴力破解需要尝试的组合数是“字符种类数的位数次方”。增加字符种类会让底数变大，而增加长度会让指数变大。关键在于，指数的作用要强得多。
| 字符种类 | 8 位 | 12 位 | 16 位 |
|---|---|---|---|
| 仅小写字母（26 种） | 约 2×10^11 | 约 9×10^16 | 约 4×10^22 |
| 大小写字母＋数字（62 种） | 约 2×10^14 | 约 3×10^21 | 约 5×10^28 |
| 大小写字母＋数字＋符号（94 种） | 约 6×10^15 | 约 5×10^23 | 约 4×10^31 |
横向看表格可以发现，只要从 8 位增加到 12 位，组合数就会增加约 7 个数量级。而纵向看，“加入符号”的效果只有约 2 个数量级。与其加符号让密码更难记，不如多加 4 位更有效。
应避免的密码设置方式
攻击者并不只做完全随机的暴力破解。他们会优先尝试人们常用的模式，因此以下方式即使长度够，强度也很弱。
- 直接使用词典中的单词（Password、baseball 等）
- 只把字母换成符号的变形（p@ssw0rd 等）。这种替换规则早已内置在破解工具中
- 生日、电话号码、公司名、宠物名等能从社交媒体推测出的信息
- 键盘上的排列（qwerty、1qaz2wsx 等）
- 在同一个基础密码后面加上服务名称来重复使用（基础密码 + amazon、+ google 等）
- 定期更换时只改末尾数字（Spring2025! → Summer2025!）
尤其危险的是最后两种，也就是“重复使用”。把从某个服务泄露的密码拿到其他服务上逐一尝试的攻击（撞库攻击）一直在真实发生。无论密码本身多强，只要重复使用，一处泄露就会导致连锁被破解。
按用途推荐的设置
| 用途 | 长度参考 | 字符种类 | 备注 |
|---|---|---|---|
| 邮箱·云存储·金融 | 16～20 位 | 大小写字母＋数字＋符号 | 优先同时开启两步验证 |
| 一般网络服务 | 12～16 位 | 大小写字母＋数字 | 不少网站不允许使用符号 |
| 不能使用符号的网站 | 16 位以上 | 大小写字母＋数字 | 字符种类少了，就用长度弥补 |
| PIN·支付密码 | 6 位以上 | 仅数字 | 避免生日和连号 |
| API 密钥·令牌 | 32 位 | HEX（0-9a-f） | 按系统要求设置 |
“不能使用符号”“最多只能输入 16 位”之类的限制至今仍很常见。字符种类受限时，基本原则是在允许的范围内把长度用到最大。
不要自己想，直接生成
人自己想出来的密码并没有本人以为的那么随机，因为会不自觉地带入习惯，比如元音辅音交替、选好记的谐音等。想要确保强度，比较现实的做法是交给生成工具，再把记忆交给密码管理器。
- 1
选择适合用途的预设
根据注册网站的要求，选择“强”“字母数字”“PIN”“HEX”等。如果网站不允许符号，选“字母数字”预设最稳妥。
- 2
调整长度
基本原则是用到网站允许的上限。如果没有上限，以 16～20 位为参考。
- 3
一次生成多个候选再选一个
从多个候选中挑选，可以避开容易混淆的字符（I、l、1、O、0）较多的密码。
- 4
保存到密码管理器
生成后立即保存是铁律。使用浏览器自带的保存功能或专门的管理应用都可以。“以后再记”一定会失败。
设好之后的管理与两步验证
即使设置了强密码，管理方式薄弱也没有意义。在日常使用上，做到以下 3 点就足够了。
- 每个服务使用不同的密码。这是效果最大的对策
- 使用密码管理器，只需记住主密码
- 重要账号开启两步验证（验证器应用或通行密钥）
“定期更换密码”过去曾被广泛推荐，但现在主要的指南已不再积极推荐。因为强制定期更换容易让人只改末尾数字，形成弱模式。真正需要更换的时候，是出现泄露迹象时，以及整理重复使用的密码时。
常见问题
- 密码设置多少位比较好？
- 一般服务建议 12 位以上，邮箱、云存储、金融类等重要账号建议 16 位以上。不能使用符号的网站，请用更长的长度来弥补。
- 加入符号的话，短一点也没关系吗？
- 不建议。加入符号把字符种类从 62 种增加到 94 种，组合数只增加约 2 个数量级；而从 8 位增加到 12 位，则会增加约 7 个数量级。优先增加长度更有效。
- 需要定期更换密码吗？
- 只要没有泄露迹象，定期更换并非必须。强制定期更换反而容易导致简单的模式，现在主要的指南也不推荐。比起这个，停止重复使用密码更重要。
- 生成的密码应该怎么保存？
- 比较现实的做法是保存在密码管理器或浏览器的密码保存功能中。请在生成后立即保存，不要以明文形式留在纸上或文本文件里。
本文介绍的工具
相关文章
交通量调查怎么做｜车型的数法·每15分钟汇总表·大型车混入率的计算
“这条路1小时通过多少辆车？”“早高峰是几点到几点？”“卡车占多少？”交通量调查被用于道路规划、店铺选址、毕业研究，乃至社区的上学路安全对策等各种场合。可真要自己做时，常会在如何划分车型、在哪里数、如何制作每15分钟的表格、如何计算高峰时段和大型车混入率上犯难。本文用实际数字，整理了从交通量调查的准备、当天的数法、汇总表的做法、高峰时段·大型车混入率·小客车当量的计算、行人流量调查的方法，到用手机计数器记录并汇总为CSV的步骤。
阅读文章 →如何查歌曲的BPM｜准确打拍测速的技巧与倍速·半速的区分方法
扒谱、练舞、DJ接歌、按节拍剪视频、设置延迟效果器，这些事情的第一步都是知道歌曲的速度（BPM）。可是跟着歌曲点几下，数字每次都不一样，或者测出来的值正好是实际的两倍或一半，比想象中更容易困惑。本文介绍BPM的基础知识、打拍测速时减小误差的技巧、看着时钟数拍的方法、用DAW或应用确认的方法、倍速与半速的区分方法，以及不同曲风和速度术语对应的BPM参考范围。
阅读文章 →摇杆漂移的检测方法｜用数值检查PS5·Switch·Xbox手柄的偏移
玩游戏时角色自己慢慢走起来，视角一直缓缓转动。出现这类症状时，首先要怀疑的就是摇杆“漂移”。但只凭肉眼，很难判断是错觉、游戏设置的问题，还是手柄真的坏了。本文介绍在浏览器中读取摇杆数值、用数字确认漂移的步骤，0.05·0.10·0.20这几个判定标准的含义，偏移方向和抖动的看法，无法识别时的处理方法，以及如何把结果用于维修咨询。
阅读文章 →