你设密码的密码时候，有没有被系统怼过——“密码不允许包含弱口令”？不允我第一次看到这行红字，愣了两秒。许包弱口令？含弱我输的是“qwerty123”，键盘上随手一划拉，口令怎么就弱了？什意思后来搞安全的朋友跟我解释，这玩意儿在黑客字典里排前一百，密码暴力破解跑一遍，不允零点几秒就出来了。许包

说白了，含弱弱口令就是口令那些太好猜的密码。不是什意思系统故意刁难你，是密码它见过太多人用“123456”“password”“admin”这种，实在看不下去了。不允

哪些算弱口令？许包比你想的多

很多人以为只有“111111”才叫弱。其实范围宽得多。纯数字的、纯字母的、键盘上相邻键位的、跟个人信息沾边的——生日、手机尾号、名字拼音——全算。我见过一个哥们儿，密码是“woaini1314”，他觉得挺有创意，结果安全扫描一跑，字典库里早收录了。还有“p@ssw0rd”这种，把a换成@、o换成0，以为能糊弄过去，破解工具里这种变形规则是标配。

更隐蔽的是“看似复杂但模式化”的密码。比如“Abc123456”，大小写加数字，长度也够，可它本质上是“abc+连续数字”，规则一匹配就出来了。系统拦你，不是因为你笨，是因为攻击者的工具比你想象得聪明。

为什么系统非要管你设什么密码？

有人觉得，我自己的账号，密码设成啥样是我的自由。话是没错，但账号不光是你的。一个电商平台，如果允许用户设“123456”，撞库攻击一上来，几万个账号瞬间沦陷。攻击者拿这些账号去试你的邮箱、网盘、甚至银行——因为很多人到处用同一个密码。系统拦弱口令，拦的是你一个人，保的是整片池子。

我待过一家小公司，内部OA系统没做密码策略。有个同事图省事，密码设成“123456”。后来系统被拖库，他的账号被人拿去发垃圾邮件，整个公司IP被拉黑。IT部门连夜改策略，强制所有人密码必须12位以上、含大小写和符号。你说冤不冤？不冤。一个弱口令，拖垮一整个网络。

那到底怎么设才不算弱？

别背那些“必须含大小写数字符号”的口诀了，那只是最低门槛。真正管用的办法是——用一句话。比如“WoChiMianBuJiaCu2024”，长度够，有大小写，有数字，但对你来说好记，对字典来说就是灾难。或者用三个不相关的词拼起来：“GreenCatRun7”，也比“Gc@7#r”这种乱码强，至少你能记住。

还有个笨办法但很有效：密码管理器。你只需要记住一个主密码，剩下的全交给它生成。我用了三年，每个网站密码都是随机20位，自己一个都记不住，但从来没出过事。唯一要防的，就是主密码别设成“password123”。

系统提示“密码不允许包含弱口令”，翻译过来就一句话：你设的这串字符，在攻击者的字典里躺着呢。换一个吧。不是系统事多，是你还没见过字典有多大。