如何创建强且易记的密码（2026）

为什么密码在 2026 年仍然重要

我们已深入到 passkey 时代，但密码仍然是最常见的互联网身份验证凭证。大多数在线账户 —— 电子邮件、银行、社交媒体、工作工具、流媒体服务 —— 仍然依赖用户名和密码作为主要或备用身份验证方法。即使生物识别或 passkey 可用，一个强的主密码保护着管理其他一切的密码管理器。

弱密码是攻击者最容易利用的东西之一。暴力破解工具可以对被盗的密码哈希每秒测试数十亿个猜测。撞库重用在一次泄露中泄露的密码来入侵不相关服务的账户。钓鱼诱骗用户在伪造的登录页面上输入密码。对所有这些的防御始于为每个账户设置一个强、唯一的密码。

本指南涵盖如何生成强密码、可以使用的不同字符类别、如何让它们容易记忆，以及如何使用密码管理器来组织它们。

什么使密码强？

密码的强度以熵比特来衡量。每比特的熵使攻击者必须做的工作翻倍。公式：

``` entropy = log2(character_pool^length) ```

其中 `character_pool` 是可用不同字符的数量，`length` 是密码长度。

要在 2026 年被认为是强密码：

• 至少 16 个字符长（更长总是更好）
• 混合字符类别：大写、小写、数字和符号
• 随机或伪随机生成（不是字典词、姓名或常见短语）
• 每个服务唯一（不要在站点之间重复使用密码）

一个使用全部 4 个字符类别的 16 字符随机密码约有 95 比特熵 —— 足以抵抗数十年的暴力破解，即使有被盗的哈希和最快的硬件。

要避免的常见弱模式：

• 字典词："password"、"sunshine"、"football"
• 姓名、生日、纪念日："John1990"、"Maggie2010"
• 常见替换："P@ssw0rd" —— 看起来随机，但在每个攻击者的字典中
• 重复使用的密码："MyDog2020!" 在 14 个不同站点使用
• 顺序或重复字符："12345678"、"aaaaaaaa"

字符类别

四个字符类别及其典型池大小：

| 类别 | 示例 | 池大小 | |-----------|------------------------------|--------| | 小写 | a–z | 26 | | 大写 | A–Z | 26 | | 数字 | 0–9 | 10 | | 符号 | !@#$%^&()_-+={}[]|:;"'<>,.?/ | 32 | | 总计 | | 94* |

使用所有四个类别的密码在每个位置有 94 个可能字符。来自此池的 16 字符密码：94^16 ≈ 3.7 × 10^31 种可能性，约 105 比特熵。

某些服务限制它们接受的符号集（例如只有 `!@#$%`）。一个常见的解决方法：避免最有问题的字符（`/`、`\`、引号、反引号），坚持使用更简单的子集。

易记 vs 随机

创建强密码有两种主要方法：

随机（最高强度，最低可记忆性）

像 `aB7#kP2&mN9$qR3!` 这样的纯随机密码具有最大熵但基本上不可能记住。将它们用于存储在密码管理器中的账户 —— 你只需要记住一个主密码。

易记密码短语（良好强度，易于记忆）

密码短语是几个随机单词连接在一起：`correct-horse-battery-staple`。经典的 XKCD 例子。从 7,776 词的列表（Diceware 词表）中选 4 个随机词，熵约为 51 比特 —— 抵抗在线攻击的强度强，易于记忆，易于输入。

密码短语的强度来自每个单词的熵，而不是长度。添加一个符号和一个数字（例如 `correct-horse-battery-staple-7!`）将熵提高到约 57 比特。

最佳实践：结合两者。使用强主密码（随机、高熵、存储在你脑中）作为密码管理器，使用唯一随机密码作为每个其他账户（存储在管理器中）。

方法一：使用 UtilBoxx 密码生成器（推荐）

在你的浏览器中生成密码最快、最私密、最灵活的方式是 UtilBoxx 密码生成器。它支持自定义长度、字符类别（大写、小写、数字、符号）以及可发音模式以获得易记的密码。一切都使用 `crypto.getRandomValues` 在你的浏览器中运行 —— 加密学上安全，无上传，无日志。

使用方法：

1. 打开 utilboxx.com/zh/tools/dev/password
2. 选择密码长度（12、16、20、32、64 是常见的）
3. 切换要包含的字符类别
4. 点击"生成"
5. 复制结果

对于可发音的密码：

1. 切换"可发音"选项
2. 生成器产生基于音节的密码，如 `vahkibozu` 或 `fremo-jady`
3. 这些更容易从记忆中输入，但随机性略低

为什么推荐这个方法：

• 100% 免费，无注册、无邮箱、无广告
• 隐私优先：密码在浏览器中生成，永远不离开你的设备
• 加密学上安全：使用 `crypto.getRandomValues`，浏览器的 CSPRNG
• 可定制：长度、字符类别、可发音模式
• 任何有浏览器的设备都能用

把这个工具加入书签 —— 你每次注册新服务时都会用到它。

方法二：密码管理器（1Password、Bitwarden）

密码管理器是生成、存储和自动填充强密码的软件。你只需要记住一个强主密码；管理器处理其他一切。

两个最受欢迎的选项：

• 1Password（付费，约 $3/月）：每个平台都有精致的应用，优秀的安全记录，家庭计划，秘密共享。
• Bitwarden（个人免费，高级版 $10/年）：开源，端到端加密，每个平台都可用，支持自托管。

两者都：

• 按需生成强随机密码
• 在浏览器和应用中自动填充
• 在所有设备之间同步
• 提醒你泄露或重复使用的密码
• 支持 passkey、2FA 和安全备注

密码管理器是你可以做的最大的安全升级。如果你从这个指南中只采用一个工具，就让它成为密码管理器。

方法三：命令行 openssl 或 pwgen

Unix 的 `openssl` 和 `pwgen` 实用程序是从终端快速、可脚本化生成密码的方法。

```bash # 生成 24 字符的 base64 密码 openssl rand -base64 24 # kPq3M9zT8sB1eF7gH5jL0nR2w==

# 生成 32 字符的十六进制密码 openssl rand -hex 32 # 7a4f8b2c1d9e3f5a6b8c0d2e4f6a8b0c1d3e5f7a9b1c3d5e7f9a1b3c5d7e9f1a3

# 16 个随机字母数字字符 LC_ALL=C tr -dc 'A-Za-z0-9' </dev/urandom | head -c 16 # kP3mN9bT7sB1eF5g

# 使用 pwgen（如果已安装） pwgen -s 20 1 # 8Hk3jP9mN2qB5vR7wL4t

pwgen 16 1 # aezohCai9Iesohph ```

`openssl rand` 是最安全的选项（使用 OpenSSL 的 CSPRNG）。`/dev/urandom` 是内核的 CSPRNG，也很好。`pwgen` 很方便，但其默认模式生成可发音的密码，随机性略低。

方法四：Diceware 方法（离线，不需要计算机）

如果你想在不信任任何软件的情况下获得强密码，Diceware 方法是黄金标准。它使用物理骰子来生成真正随机的密码短语。

1. 获取一个 Diceware 词表（在 diceware.com 找到一个）。
2. 一起掷五个骰子。掷出的数字（例如 4-2-6-1-3）对应列表中的一个词（例如 "siren"）。
3. 为你的密码短语中的每个词重复此操作（4-5 个词是典型的）。
4. 用空格或连字符将单词连接起来。

示例：5 次掷 5 个骰子 → "siren-vivid-arcade-bulb-quest"。5 个词 × 每个词 12.9 比特熵 = 64.5 比特熵，远高于强密码的最低要求。

优点：零软件，零信任。你可以自己验证熵，徒手。缺点：慢（每个密码短语几分钟）且对典型人需要的数百个密码不实用。

常见问题

我的密码应该多长？

在 2026 年，任何重要账户至少 16 个字符。20+ 更好。越长越强 —— 长度比字符多样性更重要。一个 20 字符全小写密码（log2(26^20) = 94 比特）比一个 8 字符混合大小写带符号的密码（log2(94^8) = 52 比特）更强。

对于主密码和高价值账户，目标 20+ 字符。

我应该在密码中使用特殊字符吗？

是的，当服务允许时。特殊字符增加字符池，直接增加熵。但长度更重要 —— 一个 20 字符全小写密码比一个 12 字符混合各种字符的密码更强。

一个 16 字符的密码使用大写、小写、数字和符号：log2(94^16) ≈ 105 比特熵。相同长度仅小写：log2(26^16) ≈ 75 比特。两者都很强，但前者显著更强。

密码短语比密码更好吗？

5 词 Diceware 密码短语有约 65 比特熵，类似于 12 字符随机密码（约 70 比特）。对于你需要定期从记忆中输入的密码，密码短语更容易。对于存储在管理器中的密码，随机就可以。

权衡：密码短语更容易记忆但输入时间更长，某些服务有长度限制（例如 16 字符）排除了长密码短语。

"P@ssw0rd1!" 是强密码吗？

不是。常见替换（`@` 代替 `a`，`0` 代替 `o`，`!` 代替 `i`）是攻击者熟知的，包含在每个密码破解字典中。现代破解规则每秒生成数百万个这样的变体。"P@ssw0rd1!" 在远不到一秒内被破解。

同样的情况适用于键盘模式（`qwerty123`、`asdf1234`）和数字后缀添加（`password1`、`password123`）。

我应该定期更改密码吗？

旧建议是"每 90 天更改一次"。NIST 现在反对强制定期更改密码，因为它们鼓励用户选择更弱的密码（他们循环使用可预测的模式，如 `Spring2024!` → `Summer2024!` → `Fall2024!`）。

在以下情况下更改你的密码：

• 你使用的服务宣布了泄露
• 你不小心在钓鱼网站上输入了它
• 你与不应该有它的人分享了它
• 它是你丢失的设备上的凭证

否则，一个强的、唯一的密码可以无限期使用。

最好的密码管理器是什么？

没有单一的"最好" —— 最好的是你会使用的那一个。在流行的选项中：

• 1Password：最佳 UX，家庭计划，付费
• Bitwarden：最佳免费选项，开源，可自托管
• Apple iCloud Keychain：内置于 macOS/iOS，Apple 用户免费
• Google Password Manager：内置于 Chrome 和 Android，免费
• Firefox Lockwise：内置于 Firefox，免费
• KeePass / KeePassXC：仅本地，无云，免费，开源

每个在便利性、安全性和平台支持之间都有权衡。选择一个并一致使用。

Passkey 呢？

Passkey（基于 FIDO2/WebAuthn）是未来：它们用不能被钓鱼的加密密钥对替换密码。主要平台（Apple、Google、Microsoft）支持它们，越来越多的服务接受它们。

但 passkey 尚未普及，大多数账户仍需要密码作为后备。在可用处使用 passkey，但仍为你的密码管理器维护一个强主密码。

结论

强密码是 2026 年个人网络安全的基础。16+ 字符的随机密码、加密学生成并存储在密码管理器中，是黄金标准。密码短语是你需要从记忆中记住的密码的绝佳替代。密码重复使用是要避免的最大风险。

最小可行设置：

1. 安装密码管理器（1Password、Bitwarden 或你操作系统的内置选项）
2. 设置强主密码（16+ 字符，随机，或 5 词 Diceware 密码短语）
3. 在你的密码管理器和关键账户上启用 2FA
4. 为你注册的每个站点生成新的随机密码
5. 审计现有密码并替换任何重复使用或弱的密码

对于偶尔的一次性密码生成，UtilBoxx 密码生成器 是私密的、免费的，并使用加密学上安全的随机数完全在你的浏览器中运行。将其与密码管理器配对，你就有 95% 你需要的安全性。

剩下的 5% 是 passkey、硬件安全密钥和良好的操作安全性。但首先要把基础做对。