设置安全密码需要兼顾强度与可用性：长度优先，建议至少12到16位的短语式密码，结合大小写字母、数字与符号，避开常见词和个人信息；配合多因素认证、密码管理器、登录尝试限制与黑名单策略，后台对密码进行加盐和强哈希（如Argon2/bcrypt），并用暴力破解检测与速率限制来防护，这样才能在方便记忆与实际安全之间取得平衡，同时降低被社工或钓鱼攻击利用的风险。
为什么要认真对待密码设置？先讲个比喻
密码就像你家门的钥匙。短小或相似的钥匙容易复制，常见的钥匙图案意味着任何一个铁匠都能做一把。*更长、更独特的钥匙会更难被复制，但也可能更笨重*，所以我们设计钥匙时要考虑便捷和防护。密码同理：既要难被猜到（强度），也要能在日常使用中记得住（可用性）。
核心要求（简明清单）
- 长度优先：建议用户密码至少12位，敏感或管理员账户建议16位以上。
- 避免弱模式：禁止常见密码、词典词、结构化替换（P@ssw0rd）及连续字符序列。
- 拒绝复杂但无意义的强制规则：鼓励使用长短语（passphrase）而不是只靠特殊符号混排。
- 唯一性：不同服务使用不同密码，禁止跨站重复。
- 多因素认证（MFA）：强烈要求并优先使用基于时间的一次性密码（TOTP）或推送验证。
- 安全存储：在服务器端必须加盐并使用慢哈希算法（如Argon2、bcrypt、scrypt）保存密码哈希。
- 登录防护：速率限制、逐步延迟、暴力破解检测与可疑登录告警。
更详细的说明：各项要求为什么重要
长度（为什么比复杂性更重要）
密码的安全性通常用“熵”来衡量，简而言之就是猜到密码需要多少次尝试。短密码即便包含符号，也比长度更长的普通字词短语易被暴力破解。举例：一个12字符的短语（随机单词组成）远比8字符含特殊字符的密码更难被猜中。
复杂规则的陷阱
长期以来系统强制要求字母大小写、数字和符号，这种做法有两个问题：一是会促使用户采取可预测的替代（如把!放在末尾），二是导致用户使用易记但常见的模式。NIST与OWASP等权威指南都逐渐推荐以长度和词库黑名单为主，弱化复杂性规则。
黑名单与实时校验
在用户设置或修改密码时，系统应立即检查密码是否出现在被泄露密码库、常见密码名单或是包含用户名与个人信息。如果出现拒绝并给出明确提示，这能大幅减少弱密码使用。
密码管理器的重要性
鼓励使用密码管理器可以让用户为每个账户生成唯一、长且随机的密码，而无需记忆。对于服务方，可以提供导出/导入标准（如支持OTP、公钥等）来兼容用户工具。
后台实现要求（开发与运维角度）
- 哈希与加盐：每个密码都应使用唯一的随机盐，并用Argon2（若可用）、bcrypt或scrypt进行哈希。参数应随硬件升级调整（比如Argon2的内存与时间成本）。
- 禁止对称加密存储明文：绝不应以可逆方式存储用户密码或密钥。
- 泄露检测：使用Pwned Passwords或本地泄露数据库进行检查，但注意隐私保护（可用k‑anonymity方法）。
- 密钥与参数管理：密钥管理和哈希参数应纳入版本控制和安全审计，支持平滑升级哈希策略（逐步重新哈希登录时旧密码）。
- 访问控制与审计：限制能访问密码哈希存储的系统与人员，记录修改与重置操作的审计日志。
登录与恢复流程的安全设计
找回密码流程往往是攻击的薄弱环节。好的做法包括：
- 尽量避免通过可被公开查询的信息（如出生日期）验证身份。
- 使用邮件或手机验证时，验证码应短期有效并限制重试次数。
- 敏感操作需要二次验证（MFA）而非仅凭密码重设链接。
- 提供一次性恢复码或备用物理密钥供用户恢复账户，但要提醒用户妥善保管。
管理员与高权限账户的额外要求
高权限账户需要更严格的策略：强制更长密码、绑定硬件令牌（如FIDO2）、限制登录来源IP、启用更严格的多因素，并定期人工审计这些账户的活动。不要把管理入口暴露在公共网络上，最好通过VPN或零信任访问控制。
表：建议的密码策略对照
| 账户类型 | 最小长度 | MFA | 额外措施 |
| 普通用户 | 12 位（推荐短语） | 建议（TOTP/推送） | 黑名单校验、密码管理器推荐 |
| 敏感/财务类 | 16 位或以上 | 强制（TOTP + 短信/邮件作为后备） | 异常登录告警、地理限制 |
| 管理员/运维 | 20 位或使用硬件密钥 | 强制（硬件令牌优先） | IP白名单、强审计与会话限制 |
常见问题与误区（用问答方式解释）
“为什么不强制每90天改一次密码？”
频繁的被动强制更换往往使用户采用可预测或容易记的变体，反而降低安全。现代建议是：只有在有证据（泄露或被攻破）时才强制重置，平时通过MFA和监测降低风险。
“含特殊字符一定更安全吗？”
不是绝对。特殊字符能增加组合数，但如果用户总是把特殊字符放在固定位置或替换常见字母（如a->@），攻击者会把这些模式纳入字典攻击。长短语更能抵抗猜测。
“密码提示问题有用吗？”
通常不推荐。很多提示问题的答案可以被社交媒体或公开记录收集到（母亲姓名、出生地等），作为替代，应使用一次性恢复码或多因素验证。
用户指导：怎么选密码才靠谱（实用步骤）
- 使用密码管理器生成并保存强密码。
- 如果必须记忆，选择三到四个不相关的普通单词组成短语（例如“月亮-咖啡-铅笔-42”），再适当加入大小写或符号。
- 为重要账户启用并优先使用安全的MFA方式（硬件令牌、TOTP）。
- 启用账户的登录提醒和异常登录告警。
- 定期检查是否有账户出现在泄露数据库中（大多数密码管理器会内建这个功能）。
小细节与运营建议（那些常被忽略的）
- 表单提示要友好：即时反馈密码强度并解释为何某些密码被拒绝。
- 不要要求用户记住复杂规则——给出可用的帮助与示例。
- 密码重置邮件应尽可能不包含敏感信息，链接有效期短并一次性使用。
- 在UI层面隐藏哈希或验证逻辑，但在后台记录失败模式以便后续分析。
写到这里，我想提醒自己也常被那些规定绕晕：最靠谱的其实是把难做的事交给工具（密码管理器、MFA）而不是让用户背负过多记忆负担。技术上要跟上最新的哈希和检测策略，运营上要关注用户体验与教育，二者都不能少。