密码是你的账户和攻击者之间的第一道防线。然而，直到今天，仍有无数人在使用 123456、iloveyou 或者宠物名加感叹号这类密码。数据泄露事件比以往任何时候都更频繁，所以让我们来聊聊什么才算真正的强密码、要避免哪些错误，以及如何在几秒内生成一个安全的密码。
为什么弱密码很危险
每年，安全研究人员都会公布最常用密码排行榜。年复一年，123456、password、qwerty 稳居榜首。这些密码用自动化工具不到一秒就能破解。
攻击者通常使用以下手段入侵账户：
- 暴力破解（Brute Force）——逐一尝试所有可能的组合，直到找到正确的。
- 字典攻击（Dictionary Attack）——使用包含常见单词、名字和已知密码的列表进行匹配。
- 撞库攻击（Credential Stuffing）——将从某次泄露中获得的账号密码对，批量尝试登录其他网站。
如果你的密码短、可预测，或者在多个平台重复使用，你不只是"有风险"——你是最容易被盯上的目标。一个账户被攻破，往往会引发邮箱、银行、社交媒体的连锁沦陷。
强密码的特征
强密码不只是"难猜"，它需要在机器每秒尝试数百万次的情况下仍然难以破解。以下几点至关重要：
1. 长度
长度是最重要的因素。每多一个字符，可能的组合数量就成指数级增长。12 位密码比 8 位密码难破解的程度是天文数字级别的。重要账户建议至少使用 16 位。
2. 字符多样性
强密码应混合使用：
- 大写字母（A–Z）
- 小写字母（a–z）
- 数字（0–9）
- 特殊符号（
!@#$%^&*等）
四类字符混合使用，会大幅增加攻击者的搜索空间。
3. 随机性
密码不应遵循任何规律。P@ssw0rd 看起来很复杂，但它出现在每个破解工具的字典里，因为这是一种可预测的替换模式。你真正需要的是像 t7!Kx#mQpL2$vR 这样的真正随机字符串。
4. 唯一性
不要在多个账户上使用同一个密码。一旦某个网站发生数据泄露，攻击者会立刻拿着这个密码去尝试你所有的其他账户。每个登录都应使用独立密码。
常见的密码错误
即便是自认为很小心的人，也常常踩中同样的坑：
使用个人信息 生日、伴侣/孩子/宠物的名字、家庭住址——这些信息在社交媒体上都能找到，也是攻击者最先尝试的内容。
键盘走位（Keyboard Walk）qwerty、asdfgh、zxcvbn、1qaz2wsx，这类序列打起来感觉很随机，实际上早就出现在每一份攻击字典里了。
简单字符替换
把 a 换成 @，o 换成 0，e 换成 3，这种技巧破解工具早就会自动处理了。P@ssw0rd 并不比 Password 安全多少。
只在末尾加数字或符号Summer2024! 是一种典型的可识别模式，这种可预测的结构完全抵消了复杂度的意义。
重复使用密码只改一点
如果你习惯用 BlueSky42，明年换成 BlueSky43 并不会保护你。破解了一个变体的攻击者会立刻尝试相邻变体。
如何即时生成强密码
获得强密码最简单的方式，是使用生成工具——而不是自己想一个。人脑很不擅长真正的随机性，我们总是在不知不觉中遵循某种规律。
ujiffy 的免费密码生成器让你可以：
- 设置所需的密码长度（推荐 16 位以上）
- 选择包含哪些字符类型（大写、小写、数字、符号）
- 即时在浏览器中生成随机密码
- 一键复制到剪贴板
无需注册账号，不向服务器发送任何数据，所有操作都在你的浏览器本地完成。
生成强密码后，将其保存到密码管理器中（如 Bitwarden、1Password 或浏览器内置的管理器）。你不需要记住它——只需确保它被安全存储。
快速检查：你的密码够强吗？
在确定一个密码之前，过一遍这份清单：
- 至少 16 位长
- 包含大写字母、小写字母、数字和符号
- 不含你的姓名、生日或任何个人信息
- 不是字典词汇或常见短语
- 没有在其他账户上重复使用
- 通过工具随机生成（而非自己想的）
六条全部勾选，你就很安全了。
小结
创建强密码其实并不复杂，关键的认知只有一个：不要自己发明密码。使用生成工具获取真正随机的密码，然后用密码管理器来记住它。"随机生成 + 安全存储"这个组合，是 2025 年密码安全的黄金标准。