网站登录密码

去年秋天，网站我在一家咖啡馆连Wi-Fi，登录旁边坐了个穿格子衫的密码哥们儿，正对着笔记本屏幕抓头发。网站我瞄了一眼，登录他在登录某个后台系统，密码密码框里输了又删，网站删了又输。登录最后他叹了口气，密码掏出手机翻备忘录，网站嘴里嘟囔：“当初设那么复杂干嘛。登录”

这场景太熟了。密码我自己也干过这种事——为了“安全”，网站把密码设成大小写字母加数字加符号的登录十六位乱码，结果三天后自己都记不住。密码更讽刺的是，那个系统我总共就登录过两次。

网站登录密码这件事，表面上是技术问题，骨子里是人的记忆力和安全规则之间的拉锯战。

那些年被密码逼疯的瞬间

我有个做运维的朋友，管着几十台服务器。他的密码策略是：每个系统不同，全部用密码管理器生成。听起来很专业对吧？但他手机丢了那次，整个人差点崩溃——密码管理器的主密码他设得太复杂，自己也没记住。最后靠备用邮箱和一堆验证码才找回来，折腾了整整一个下午。

普通人没这么极端，但烦恼类似。你注册一个论坛，要求“至少8位，含大小写和数字”，你设了Abc12345。过两个月去另一个网站，要求“至少10位，含特殊符号”，你改成Abc12345!。再来一个网站，要求“不能包含连续数字”，你只好换成Abc!54321。到最后，你根本记不清哪个网站用的是哪个版本。

更气人的是，有些网站还限制密码长度上限——比如最多16位。这年头，16位能干嘛？但人家数据库字段就设了那么长，你也没辙。

密码到底怎么设才不折磨自己

我现在的做法是：分三档。

第一档，银行、支付、邮箱这类核心账户，用独立的高强度密码，写在纸上锁抽屉里。对，物理备份。别笑，纸比云靠谱——至少黑客没法远程偷你抽屉里的东西。

第二档，常用但没那么敏感的网站，比如知乎、豆瓣、各种论坛，用一个固定的“基础密码+网站特征”组合。比如基础是MyBase!2024，知乎就变成MyBase!2024zh，豆瓣就是MyBase!2024db。这样每个网站密码不同，但你自己能推导出来。

第三档，一次性注册、用完就扔的网站，直接Abc123456走人。反正你也不会再去第二次，泄露了也无所谓。

这方法不完美，但实用。安全圈的人肯定要骂我，说这样容易被撞库。可现实是，大多数人连“不同网站不同密码”都做不到，能分档已经算进步了。

网站那边的问题更大

很多网站的设计，简直是在故意为难用户。密码框不允许粘贴——防谁呢？防的是用密码管理器的人。密码强度指示器做得花里胡哨，但实际规则莫名其妙。有的网站你输错三次就锁账户，解锁还要打电话给客服，客服电话永远占线。

我见过最离谱的，是一个政府服务网站，要求密码必须“以字母开头，以数字结尾，中间不能有连续相同字符”。我试了七次才通过。登录进去一看，里面就一个表格下载功能。这安全级别，堪比核弹发射井。

说到底，网站登录密码的核心矛盾是：安全规则越严，用户越倾向于用简单密码或重复密码来对抗记忆负担。最后安全没提升多少，用户体验先崩了。

一点个人观察

我现在判断一个网站靠不靠谱，先看它的密码规则。如果要求合理——比如允许粘贴、支持密码管理器、有二次验证——说明产品团队想过用户。如果上来就一堆奇葩限制，还美其名曰“为了您的安全”，那这网站大概率其他地方也做得不怎么样。

密码这东西，终究是过渡方案。指纹、人脸、硬件密钥，早晚会取代它。但在那之前，我们还是得在“记不住”和“不安全”之间，找个自己能接受的平衡点。

那个咖啡馆的哥们儿最后终于登进去了。我问他密码是啥，他苦笑着说：“我把它改成了password123，反正这系统就我一个人用。”

你看，规则再严，也挡不住人想省事的心。

(责任编辑：娱乐)