撞库才是大多数账号被盗的真正机制：一个论坛泄露了你的邮箱和密码，自动化工具几分钟内就会拿这组账号密码去试遍所有大站。每个账号一个随机唯一的密码，能彻底切断这条链。人脑发明不出也记不住几十个这样的密码，所以才需要生成器：它产出猜不透的长随机串，密码管理器替你记住。长度永远胜过复杂度——20 位的随机串，寿命远超 8 位绞尽脑汁还难输入的符号拼盘，省下的记忆力拿去记真正重要的事，剩下的事交给管理器，你只管记住主密码。
长度胜过复杂度
每多一位，猜测空间就乘上字符集大小，所以从 12 位加到 20 位，比把字母换成符号管用得多。20 位纯小写字母的密码，离线猜解成本已经超出任何现实的攻击预算。复杂度规则（必须含符号、定期更换）主要让人难受，对机器几乎没增加难度。网站强制要求就照做，不强制就只管加长。
密码短语：又安全又能念出来
五六个随机单词串起来，抗猜解能力约等于长随机串，好处是真能打出来、能电话里念给人听。关键词是随机：书里的句子、歌词都猜得到，生成器抽的五个词猜不到。必须记在脑子里的两三个密码（密码管理器的主密码、磁盘加密）用短语，其余全部用随机串。
生成，然后存起来——不要记
试图记住的生成密码会被记忆本身削弱：你会把它改短、加规律、拿去复用。唯一可行的流程是生成器加管理器：生成 20 位以上随机串，直接存进靠谱的密码管理器，让自动填充去输入。重要账号再开双因素认证，再强的密码也只是单因素。
使用方法
- 长度至少 16 位，重要账号 20 位以上。
- 大小写、数字、符号都勾上，除非网站限制。
- 生成后直接存进密码管理器。
- 绝不在别处复用。
常见问题
生成的密码真随机吗？
靠谱的生成器用操作系统的密码学随机源，不可预测。说不清随机源的生成器不要用。
密码要定期换吗？
不用，定期更换是过时的建议。有理由怀疑泄露才换，否则一个又长又唯一的密码放着别动。
必须记在脑子里的密码怎么办？
五个以上随机单词的短语，给真正需要记的两三个。其余全部进管理器。
密码管理器本身安全吗？
选口碑好的，配强主密码短语加双因素，就安全。一个防守严密的保险库，胜过几十个复用的密码。