上周三凌晨两点，我手机突然炸了。
是我表妹打来的，哭得上气不接下气，说她玩了快一年的乙游号没了。
我以为她是登错区了，结果她抽抽搭搭跟我说，刚才登上去的时候，里面的限定卡全被融了，攒的抽卡道具全被花光，连好友列表都被删得精光。
我第一反应是她把密码给别人了？她立马炸毛，说怎么可能，她的密码老安全了，注册的时候APP给的密码强度条直接拉满，绿得晃眼，又是大写又是小写，还有数字还有特殊符号，怎么可能被盗？
我让她把密码发我看看。
哦，是”Tangtang2024!@#”。
我当时就沉默了。
那根晃眼的绿条，根本测的不是“扛不扛揍”
很多APP的密码强度检测，说穿了就是个凑数的。它根本不会去查你这个密码是不是在已经泄露的密码库里面，是不是黑客常用的字典词条，它就数：有没有大写？有。有没有小写？有。有没有数字？有。有没有特殊符号？有。长度够不够8位？够。行，给你拉满绿条，告诉你这个密码超级安全。
可问题是，”Tangtang2024!@#”这种组合，你猜有多少人在用？我之前帮我妈改密码，她设的是”Xiaoxiao2023!@#”，跟我表妹的密码结构一模一样，连最后三个符号的顺序都没差。
说实话，这种密码，黑客的字典里早就把所有变体都收录全了——不管你前面是啥名字，后面加的是哪年的年份，最后统一怼上”!@#”，这种模板化的组合，人家批量跑字典的时候，连一秒钟都用不了就能试出来。
你以为你在玩“我设个复杂密码防你”，人家早把你那点小心思摸得透透的。
你以为的“聪明小技巧”，黑客闭着眼都能猜到
我之前见过太多人，为了让密码看起来“够复杂”，想出来的招全是网上传了十几年的老套路。
比如把密码里的o换成0，s换成$，a换成@。就像把”zhangsan1999″改成”zh@ng$@n1999″，还觉得自己特别聪明，别人绝对猜不到。
可拉倒吧。
这种替换技巧，从十几年前开始就被写进黑客的爆破字典里了。你能想到的替换方式，人家早就把所有排列组合都算完了。
还有更绝的，之前有个同事跟我炫耀，说他的密码超级难猜，是”woaini520!@#”，说这个谁能想到？
我当时差点把手里的咖啡喷出来。
这个组合在某知名泄露密码库里面，是出现频率最高的那一批。
真的，别觉得自己那点“小聪明”能瞒过谁。你在网上随便搜“怎么设密码更安全”，跳出来的那些老掉牙的技巧，黑客比你还熟。
哦对，还有人觉得，我把密码设得长一点，比如把自己的人生格言放进去，“为中华之崛起而读书123”，这么长，总安全了吧？
也未必。
要是你选的都是大家耳熟能详的句子，人家的字典里照样能匹配到。反倒是那种你随手抓几个完全不搭边的词凑出来的长句子，比如你今天吃了火锅，路上看到了猫，口袋里还有半块薄荷糖，下班路上踩了个水坑，拼出来的组合，爆破软件跑很久都未必能跑出来。
真正扛造的密码，根本不需要你费脑子记
我知道很多人看到这就头大，那我到底要设啥密码？总不能为了个账号，天天背个没规律的字符串吧？
其实真不用。
你别自己瞎琢磨密码了，要么用密码管理器给你生成个完全随机的串，反正管理器帮你记着，你连主密码都不用天天输；要么就自己凑四个完全不相关的词，比如你今天吃了火锅，路上看到了猫，口袋里还有半块薄荷糖，下班路上踩了个水坑，你就把这几个词拼起来：“火锅猫薄荷水坑”，再加个你记得住的小数字，比如“火锅猫薄荷水坑72”。
这个密码长度够，没有规律，你自己还好记，比你之前那堆“名字加年份加特殊符号”的组合，安全太多了。
哦对，还有个最最最重要的事，我必须碎碎念一句：别所有账号都用同一个密码。
真的。
你就算密码强度拉满，只要有一个不知名的小网站被脱库，你的密码流到黑产手里，人家拿着这个组合挨个去试你的微信、支付宝、游戏号，那不是一撞一个准？
我前几年图省事，所有网站都用同一个密码，结果某不知名的小众摄影论坛被脱库，我那个密码流出去没一周，就收到了微信的异地登录提醒，给我吓出一身冷汗，当场花了一晚上把所有账号的密码全改了，还全加了二次验证。
上次我表妹哭到抽抽的时候我都心疼。她攒了快一年的限定卡池，说没就没，换谁不闹心？
真的，别再被那根绿条骗了。
你设密码的时候，别光看APP给的强度打分，多想想：这个组合，我是不是在哪见过？是不是跟我之前用的其他密码结构差不多？要是是的话，赶紧换。
哦对，要是你实在记不住那么多密码，就老老实实装个密码管理器，比你自己瞎琢磨靠谱一万倍。