随机密码和可记忆密码怎么选？什么时候用哪一种
密码不是越难念越好，关键是看使用场景。
大多数网站账号更适合使用密码管理器保存的长随机密码；如果你必须自己记住和手动输入，长一点的密码短语往往更实用。
随机密码适合哪里
随机密码适合：
- 密码管理器里的普通账号
- 管理后台
- API 平台
- 很少手动输入的账号
- 需要定期轮换的共享账号
随机密码的优势是不可预测。缺点也很明显：人不应该被要求记住一长串乱序字符。
可记忆密码和密码短语适合哪里
可记忆密码适合你必须亲自输入的地方，例如：
- 密码管理器主密码
- 电脑或手机解锁密码
- Wi-Fi 密码
- 需要准确抄写的恢复短语
更推荐“长密码短语”，而不是很短的单词加几个符号。把 a 换成 @ 这类技巧很容易被猜到，真正更重要的是长度和唯一性。
不要迷信老式复杂度规则
新的密码建议已经不再鼓励机械要求“必须包含大写、小写、数字、符号”。NIST SP 800-63B 更强调最小长度、允许更长密码、接受空格，并避免强制奇怪的字符组合规则。
这不代表短密码安全，而是说：长、唯一、不可预测，比短密码加几个符号更可靠。
简短结论
能交给密码管理器保存的账号，用长随机密码；必须自己记住的密码，用足够长的密码短语。无论哪种，都要保证每个账号不重复，并尽量开启 2FA。
实用流程
把这类操作当作本地检查任务。先复制一份待检查内容，避免粘贴生产密钥、真实 token 或用户密码；再用工具查看字段、生成值或计算哈希；最后回到真正负责安全控制的系统里验证。
解码后的 JWT、生成的密码、计算出的 SHA-256 哈希，都只能帮助你理解当前值。它们不能替代服务端签名校验、密码管理器、发布者签名、恢复码和账号恢复流程。安全相关内容尤其要避免“看见结果就相信”。
检查清单
| 检查项 | 为什么重要 | |---|---| | 是否暴露密钥 | 生产 token、私钥、密码不应粘贴到不可信服务。 | | UTC 和本地时间 | 过期时间、时间戳经常因为时区理解错误而误判。 | | 是否逐字符一致 | 哈希、密钥、编码值只要差一个字符，结果就不同。 | | 是否有恢复方案 | 密码和 2FA 都需要备份码或账号恢复路径。 |
常见问题
能只看工具显示结果就下结论吗？
不建议。工具结果适合辅助理解，最终仍要以服务端验证、密码管理器、官方发布签名或账号恢复流程为准。调试时尽量使用脱敏样例。
使用场景示例
安全相关的值通常有两个读者：人和系统。工具帮助人理解这个值，但最终是否有效，仍然由系统判断。例如 JWT 的过期时间能读出来，不代表签名有效；SHA-256 一致只能说明文件匹配这个哈希，不代表发布者可信。
因此工具适合缩小问题范围，最后还要回到真正的安全控制：后端 token 校验、密码管理器、官方校验页面、签名发布包或账号恢复设置。
不同密码适合不同场景
随机密码最适合交给密码管理器保存，长度可以更长，也不需要人脑记忆。可记忆密码或 passphrase 更适合主密码、设备解锁、紧急恢复等场景，因为这些地方真的可能需要你自己输入。
要避免的是“看起来复杂但很短”的密码，例如常见单词加年份、感叹号和替换字符。攻击者知道这些模式。相比之下，几个不相关词组成的长短语，通常更容易记，也更难被猜中。
频繁更换不能弥补弱密码
一个短而可预测的密码，即使每个月更换，也不如一个强随机密码加密码管理器可靠。共享账号更应该用密码管理器的共享和审计功能，而不是把一个“大家都记得住”的密码发在聊天记录里。
如果必须让人记住，优先选择更长的 passphrase，并避免姓名、生日、公司名和年份这类容易猜到的信息。
安全类结果不能只看表面
随机密码适合密码管理器，可记忆长短语适合必须手动输入的场景。别再只迷信大小写数字符号组合。 安全相关工具适合帮助理解结果，但不能替代真正的验证系统。JWT 要回到后端验签，密码要看密码管理器和账号策略，校验值要和官方来源对比。
使用“生成安全密码”时尽量避免粘贴敏感值。如果必须检查真实数据，要记录来源、时间和预期结果，最后仍以服务端、发布页或账户系统为准。
参考资料：