如何生成强密码（以及为什么长度比符号更重要）
快速摘要
了解什么是强密码、为什么密码长度比特殊符号更重要，以及如何用加密安全的密码生成器为邮箱、银行和 Wi-Fi 生成高强度密码。
强密码是一串足够长、足够随机的字符，使暴力破解和字典攻击在现实中不可行。研究表明，密码长度对强度的贡献远大于字符集复杂度——一个 20 位的纯字母数字密码通常比一个 8 位的“复杂”密码更难破解。本文解释如何用 NeatForge 密码生成器 生成符合现代安全标准的强密码。
什么是强密码？
强密码具备三个特征：
- 长度足够：至少 16 个字符，高价值账户建议 20 个字符以上。
- 随机性高：由加密安全的随机数生成器产出，不含可预测的模式。
- 唯一性：每个账户使用独立密码，避免一处泄露牵连全部。
强密码不依赖人类记忆中的“好记”规则，而是借助密码管理器存储。人类自创的密码（如 P@ssw0rd2024!）看似复杂，实际熵很低，是字典攻击的首选目标。
为什么长度比符号更重要？
密码熵（衡量不可预测性）大致按 字符集大小 ^ 长度 增长。指数关系中，“长度”出现在指数位，“字符集大小”是底数——加长一位带来的强度提升，远大于把字符集从 62 扩到 90。
举个直观对比：
- 8 位混合大小写+数字+符号（约 90 种字符）：约 52 位熵。
- 20 位纯小写字母（26 种字符）：约 94 位熵。
后者更“简单”却强 10 亿亿倍。许多网站强制要求符号，反而让用户在 8-10 位短密码里堆砌 !@#，这是错误的安全感来源。NIST SP 800-63B 已不再强调复杂度规则，转而推荐长度优先。
如何生成强密码？
- 打开 密码生成器。
- 用滑块把长度设为 16 或更高。
- 勾选大小写字母、数字，必要时勾选符号。
- 若需手动抄写，启用“排除易混淆字符”（去除
0/O、1/l/I等）。 - 点击生成，复制结果到密码管理器。
该工具使用 Web Crypto API 的 crypto.getRandomValues()，输出不可预测，与 Math.random() 有本质区别。
不同账户的密码建议
- 邮箱账户：邮箱是重置其他密码的入口，必须最强——20 位以上随机字符串。
- 银行与金融：20 位以上，启用短信或 TOTP 二次验证，密码仅作第一道防线。
- Wi-Fi 和路由器：WPA3 推荐使用 16 位以上的随机密码，抵抗离线字典攻击。
- 密码管理器主密码：唯一需要记忆的密码，建议 4-5 个无关词构成的 passphrase，或 20 位以上随机串。
- API 密钥和令牌：尽量使用平台生成的长 token，不要自己手写。
隐私说明
NeatForge 密码生成器完全在浏览器本地运行，使用 Web Crypto API 生成，密码不会上传、不存储、不记录，关闭页面即清除。把密码粘贴到任何第三方服务前都要谨慎——只有在可信的本地工具中处理才能保证安全。
常见问题
密码多长才算安全？ 对于普通账户，16 个字符是合理的下限；邮箱、银行、密码管理器主密码建议 20 个字符以上。每增加一位，破解难度呈指数级上升。
密码生成器安全吗？
取决于随机源。NeatForge 使用 crypto.getRandomValues()，提供加密安全的随机数；使用 Math.random() 的工具不应用于生成密码。
应该包含符号吗？ 符号能增加熵，但某些网站会限制可用字符。如果站点拒绝某个符号，重新生成或关闭符号选项即可，同时把长度加长来补足熵。