密码应该多长？不靠传说的强度

长度是密码最重要的单一属性。每多一个字符，暴力破解所需的工作量就翻倍式增长；换一个字母为符号只是每个位置多了一个选项。长而“无聊”的密码，稳定胜过短而聪明的。

实用规则：重要账户用生成器生成的 16 个以上随机字符；需要手输的场景，用几个互不相关的词组成随机短语。8 个字符的密码，无论多随机，都在“按分钟租用算力”的人的射程之内——所以长度比随手撒进去的符号更重要。

真正的危险是复用，不是复杂度。当一家防护薄弱的公司泄露数据库，攻击者会在所有地方尝试“邮箱+密码”组合；在多个网站复用的强密码，只要其中一个站出事，就变成最薄弱的一环。使用密码管理器，每个密码保持唯一，并在重要账户开启两步验证。

安全标准悄悄废除了老规则是有原因的：强制“一个大写、一个数字、90 天一换”把人推向攻击者倒背如流的固定套路。长度、唯一性和一个诚实的强度计——就像我们完全在你浏览器里运行的生成器那样——比任何仪式都有效。