你以为够安全的密码强度，其实连10秒都撑不住？

上周六去表妹家吃冰镇西瓜，她蹲在平板前面皱着眉头戳屏幕，说学校的选课系统密码总提示“强度不足”。我凑过去看，她输的是自己的名字首字母加生日——Lxy20080612。 就这？ 我当场拿手机上存的公开弱密码字典跑了下，不到10秒，结果就弹出来了。她手里的西瓜块“啪”得掉在沙发套上，眼睛瞪得跟铜铃似的。

系统弹的绿色进度条，全是“套路”

很多人对密码强度的全部认知，都来自注册页那个细细的进度条：红了就补个数字，黄了就加个大写字母，绿条拉满就拍胸脯觉得万无一失。 但真不是所有的绿条都靠谱。 我前阵子帮我妈弄社区老年大学的报名账号，她自己设的密码是“Xiaohong123”，系统直接跳“强度优秀”的弹窗，我拿同款字典工具试了下，3秒就出了结果。说白了，很多小网站的密码校验逻辑做的极其敷衍，只要凑够8位，混了数字和字母，不管这个组合在弱密码字典里出现过多少次，直接给你拉满绿条。 你以为的安全，从一开始就是系统给你的心理安慰。

更有意思的是，很多人看到绿条还不满意，非要自己再“升级”一下——把生日前面加个@，把首字母换成大写，拼成“Lxy@20080612”，觉得这一下就没人能猜到了。 别傻了。 现在批量破解用的字典，早就把大家的拼接逻辑摸得门儿清：名字首字母加生日加特殊符号，是最常见的密码组合范式，工具根本不需要逐位试，直接把这类组合打包成固定词条，扫一遍的功夫，你的密码就被匹配上了。

那些你以为的“安全操作”，全是送分题

我之前见过太多人，为了好记，所有网站的密码全用同一套模板。 淘宝用Lxy20080612，京东就改成Lxy20080613，B站就改成Lxy20080614，连社区门禁的初始密码都懒得改，直接沿用同一套逻辑。听着挺有规律对吧？但只要有一个没什么安全防护的小网站漏了你的密码，你的所有账号等于全裸奔。现在的撞库工具根本不需要人手动输密码，拿到泄露的密码库，挨个平台试一遍匹配的账号，碰到能登的直接薅走，半分钟都花不了。 还有更离谱的操作。我大学室友为了记密码方便，把密码设成自己常喝的奶茶名加排队号，比如“1234Naicha”，觉得这总没人能猜得到吧？结果他发朋友圈晒奶茶，配文“今天排队12分钟，三分糖杨枝甘露yyds”，被同校的学弟看到，试了三次就登上他的校园网账号，把他期末作业的提交时间给改晚了，差点重修。 现在想起来他当时在宿舍拍大腿的样子我都想笑，但笑完真的后背凉——你随手发的朋友圈，可能就是给偷你账号的人递的钥匙。

很多人对密码强度的误解，本质上是把“自己能不能记住”和“别人能不能猜出来”搞混了。你觉得自己设的密码有专属记忆点，旁人根本想不到，实际上对跑字典的工具来说，只要你的密码有固定的逻辑，不管这个逻辑藏的多深，都能被拆成词条算进去。比如你喜欢猫，把密码设成“Mimi520”，工具根本不需要知道你真的有只叫咪咪的三花猫，只要把常见的宠物名加数字组合扫一遍，不出两秒就命中。

真的够强的密码，根本不需要“有意义”

之前看到有人打比方，说好的密码就像你家的防盗门钥匙。你根本不需要把钥匙做的跟个艺术品似的，上面刻着你家地址、你生日、你养的猫的名字，只要齿形是完全随机的，别人拿个万能钥匙捅半天捅不开，就是好钥匙。 我现在自己常用的主账号密码，根本不是什么有逻辑的句子，就是随机按键盘按出来的字符串——比如“kj@9#m2$lp”。第一次记的时候确实费点劲，但我把它存在手机自带的密码管理器里，用的时候直接自动填充，根本不需要费脑子背。 很多人说“随机的密码我记不住啊”。 你记不住你家门钥匙的齿形是啥，不也天天揣在兜里用？把密码交给专门的工具存着，比你自己凑那些有规律的“好记密码”，靠谱太多了。 上次表妹听完这些，当场把她那个选课系统的密码换成了随机生成的12位字符串，系统一下跳了满格的绿条。她还跟我说，原来之前那个绿条不是骗她的，是她之前设的密码真的太烂了。 对了，下次设密码的时候，别再抱着“我设的密码别人猜不到”的侥幸了。你觉得别人猜不到的，在跑字典的工具眼里，跟你把密码写在脸上没区别。 哦还有，别把你的密码设成你家猫的名字加生日。 真的，3秒破。