还在逼自己记复杂密码？NIST废了老规矩，这2款免费软件替你记

注册账号，弹出一行红字：密码必须包含大小写字母、数字和特殊字符。三个月后，系统又催你改，还不能和前几次重复。于是你把 Summer2026! 改成 Autumn2026#，觉得自己很安全。

其实这套规矩的祖师爷，早就认错了。

一份8页纸，折磨了全世界14年

2003年，NIST一位叫 Bill Burr 的中层管理者写了份只有8页的密码指南：混合大小写、90天一换、不许复用旧密码。他当时不是密码学家，能找到的参考资料，是一篇1980年代的白皮书——那会儿互联网还不存在。知乎知乎

后来真实泄露数据到手，场面就尴尬了：LinkedIn数亿条被泄露的密码显示，人类的套路惊人一致——大写放开头，数字放末尾，特殊字符永远是感叹号。破解工具早把这些模式写进了字典，你以为的“强密码”，可能几秒就倒。知乎

2017年，退休的72岁 Burr 对《华尔街日报》说：“我做的那些事，很多我现在都后悔了。”同年NIST正式改版指南，把强制字符组合、90天一换这些老规矩全废了。新版指南的核心就几条：知乎

• 不强制字符组合，不再要求定期更换密码。哔哩哔哩知乎

• 长度为王：从8位加到15位，破解难度涨上百亿倍；而“大写+数字+符号”的花样，只带来几倍差距。

• 注册时和已泄露密码库（如 Have I Been Pwned）比对，泄露过的密码直接拒绝。知乎

记不住之后的“土办法”，才是真危险

新规更讲道理，但有个现实矛盾：几十个账号，每个都要不重样的长密码，人脑装不下。于是大多数人走上两条最危险的路——要么全站共用一个密码，要么抄进手机备忘录。前者一漏全漏，后者等于把家门钥匙贴在门上。哔哩哔哩

正确解法是把这事交给软件。两款免费开源的，按你信不信云端来选：

Bitwarden：跨平台云同步，能自动生成随机密码、登录时自动填充，手机电脑无缝衔接，小白当天上手。它最大的价值是“一站一密”：就算某个网站被拖库，其他账号也毫发无损。一个提醒：今年它的命令行工具出过 npm 分发渠道被投毒的事件（核心密码库加密并未被破解），下载安装包请认准官网和应用商店，别走来路不明的网盘链接。知乎哔哩哔哩

KeePassXC：走另一条路——密码全部存在本地的 .kdbx 加密文件里，一个字节都不上云，GPLv3 开源，由社区维护，适合对云端零信任的人。代价也明摆着：多设备同步得自己想办法（用网盘中转加密文件，或自建 Vaultwarden 服务），对纯新手不算友好。知乎

动手之前，记住三件事

1. 主密码用长短语：四个不相关的词拼起来，比“Zhangsan123!”强得多，这是你唯一需要记住的密码

2. 给密码管理器本身开两步验证，别把全部鸡蛋放一个篮子还不加锁

3. 先把邮箱和银行支付类账号搬进去，其他的慢慢迁，别指望一口气吃成胖子

一个拍脑袋诞生的规则跑了十几年，制定者都道歉了，你的密码别再替它受罪了。