一、暴力破解是怎么工作的

最常见的手段是穷举：从 a 开始，把所有可能的字符组合一个个试过去。决定它要试多久的，只有两个变量——字符种类有多少、长度有多长。所以"加长"和"加复杂度"不是审美选择，是直接扩大搜索空间。

但穷举只是其中一种。更高效的是字典攻击：把你可能用过的生日、手机号、姓名拼音、键盘连打（如 asdfgh）、常见单词组成字典，优先试这些。这解释了为什么一串"看起来很长"的拼音组合，可能几秒就被命中。

二、四个标准，必须同时满足

"够唯一"为什么最重要：一个不重要的论坛泄露了你的密码，攻击者会拿它去试你的邮箱、网银、支付工具——这叫撞库。密码再复杂，共用一次就失去意义。

三、三步生成，别靠脑子想

人脑天生不擅长创造真随机。你以为随手敲出来的是乱码，实际往往有隐藏规律。可靠做法：

1. 打开生成器，设定长度与字符类型（重要账户四类全选）；
2. 点击生成——可靠工具使用的是密码学安全的随机数生成器，而不是普通的随机函数；
3. 复制、粘贴到注册或改密页面，并同时存入密码管理器。

选工具时看一个技术细节：是否使用浏览器提供的加密级随机数接口、是否全程本地生成不联网。普通随机函数生成的"随机密码"，可预测性要高得多。

四、生成只是第一步，后面三件事更关键

• 开启两步验证（2FA）：即使密码泄露，没有验证码也登不进去。优先用身份验证器 App，比短信验证码更可靠（短信存在被拦截与补卡的风险）。
• 定期检查泄露：用公开的泄露查询服务查自己的邮箱是否出现在已知泄露库里；一旦命中，立刻更换相关账号密码。重要账号建议每 6 到 12 个月更新一次。
• 记不住的应对：用密码管理器；实在不想用，可以试"密码句子法"——取一句你永远不会忘的话的首字母，再加数字与符号。它的安全性弱于随机串，但远好于生日。

五、一句话总结

够长、够复杂、够随机、够唯一——四条同时成立，才算强密码。缺任何一条，另外三条的价值都会被打折。而在这一切之上，两步验证才是那道真正拦得住人的门。