知道用户名，知道离破解密码还差着十万八千里。用户但很多人偏偏死在了第一步——他们把用户名当成了密码的名破码提示板。

我见过一个运维，解密他的知道密码是“zhangsan@2023”。用户名是用户zhangsan，密码里带着zhangsan，名破码还带年份。解密问他为什么，知道他说好记。用户好记是名破码好记，可别人也好猜。解密他公司防火墙日志里躺着一排排暴力破解记录，知道全是用户拿他用户名加年份撞库的。他运气好，名破码没被撞开，但隔壁部门的老王就没这么幸运了——老王的密码是“wang123456”，撞库脚本跑了不到十分钟就进去了。

这不是技术问题，是人性问题。密码破解从来不是从“知道用户名”开始的，而是从“观察用户习惯”开始的。

你换个角度想。黑客拿到一个用户名，他会干嘛？他不会傻乎乎地纯暴力破解，那太慢。他会先去翻这个用户的社交账号、论坛发言、甚至招聘网站上的简历。你信不信，一个人在某平台上的昵称、生日、手机尾号、宠物名字，往往就是他密码的原材料。我认识一个搞渗透测试的朋友，他说自己破解成功率最高的方法，不是用字典，而是去翻目标的微博——看看他晒过什么、抱怨过什么、纪念过什么日子。

有个案例特别典型。某公司财务的邮箱用户名是“caiwu_li”，密码是“li19850312”。她1985年3月12日出生，这日子在她QQ空间里挂着呢。攻击者先从领英上找到她的职位和姓名，再翻到她的生日，然后试了三次就进去了。整个过程不到半小时，没用到任何高端工具，就是浏览器自带的密码猜测功能。

所以你看，知道用户名本身不是漏洞，但用户名会暴露你的命名习惯。比如“zhangsan”这种拼音全名，说明这人懒得想复杂的东西。再比如“js_liwei”这种带部门缩写和姓名首字母的，大概率是IT部门的人——他们往往更自信，密码反而更简单，因为觉得自己懂安全。

还有一类人更危险。他们喜欢在密码里塞“@”或者“#”这种符号，以为这样就安全了。实际上，只要你的密码结构是“单词+数字+符号”的固定组合，破解工具只需要几分钟就能跑完常见变体。我见过最离谱的一个密码是“admin@123”，用户名是“admin”，这哥们是公司服务器管理员。他觉得自己加了个@就高枕无忧了，结果被隔壁组实习生用默认字典一把梭哈。

说句掏心窝子的话，密码这玩意儿，防的不是黑客，是你自己的懒惰。黑客没那么神，他们只是比你更有耐心，更愿意去翻你的公开信息。知道用户名，他们只是拿到了敲门砖，真正让他们进来的，是你把钥匙藏在门口的脚垫底下——那个脚垫，就是你的生日、你的昵称、你随手写在便利贴上的习惯。

你要是真担心被破解，就别把用户名和密码搞成“夫妻档”。换个思路：用户名是公开的，那就当它是个陌生人，密码里别带任何跟它有关联的东西。用一句只有你自己懂的废话，比如“今天午饭吃了两碗”的拼音首字母加乱序数字，都比“zhangsan2023”强一百倍。

破解密码这活儿，三分靠工具，七分靠猜人心。知道用户名，只是猜心的起点。真正的高手，从来不用暴力，他们用眼睛看，用耳朵听，用脑子想。你防不住他们，除非你把自己当成一个没有规律可言的疯子——可惜，大多数人不是疯子，所以大多数密码，都能被猜中。

(责任编辑：综合)