我见过最讽刺的通用密码，是密码某公司行政总监写在便利贴上、粘在显示器边框的通用那串字符。那是密码个周一早上，我替离职同事交接系统权限，通用她当着我的密码面，把便利贴撕下来，通用揉成一团，密码扔进垃圾桶。通用那串字符是密码“Password123！”，通用连大小写都懒得换。密码

密码这东西，通用本质上是密码个悖论。你设得复杂，通用自己记不住；设得简单，别人猜得到。于是有人发明了密码管理器，把几十个高强度密码塞进一个主密码保护的“保险箱”。可问题是，主密码一旦忘了，所有子密码就像被锁在失火的房间里，钥匙还断在锁孔里。

我见过一个更狠的招数——有人把密码写在纸上，折成纸船，放在办公室鱼缸里漂着。纸船遇水会慢慢沉，他每天换一只新纸船。这法子确实聪明，但成本太高，而且万一那天他出差，纸船沉了，密码就跟着沉底了。

所以当有人跟我说“通用密码查看器”这种东西时，我第一反应是：这玩意要么是黑客钓鱼工具，要么是某个极客的自嗨项目。直到我亲眼看见一个开源软件——它不存密码，而是用一种叫“主密钥派生”的算法，用你脑子里的一个主密码，加上网站域名，实时算出该网站的唯一密码。你不需要记住“Gmail用的是Xk9#mP2q”，你只需要记住一个主密码，剩下的交给算法。

这逻辑挺反直觉的。你不需要存储密码，因为密码根本不存在——它每次都是现算出来的。就像你不需要记住圆周率小数点后一百位，你只需要记住公式，随时能推出来。这个思路的妙处在于，它把“记忆负担”从“一堆随机字符串”压缩成了“一个主密码”，而那个主密码，你可以设置成一句只有你自己懂的废话，比如“我家的猫讨厌吃西兰花”。

当然，这玩意有个致命弱点——主密码一旦泄露，等于所有密码都裸奔。但话说回来，你以前用同一个密码走天下的时候，不也是裸奔吗？至少现在，每个网站拿到的都是个随机数，就算某个论坛数据库被拖了库，黑客拿到的也只是个算不回去的哈希值。

我试着用了一个月，最大的感受是：我居然能记住所有网站的密码了，因为我根本不需要记。打开浏览器插件，输入主密码，它自动填表。唯一要防的，是别在公共电脑上登录，否则主密码一旦被键盘记录器截走，那才是真正的“通用密码查看器”——只不过看的是你全部家当。

说到底，密码管理从来不是技术问题，是人性问题。你愿意相信一个算法，还是愿意相信一张贴在显示器上的便利贴？我选算法，至少它不会在我离职那天，被揉成一团扔进垃圾桶。