“所有网站都用同一个密码”是普通人最常见、也最危险的习惯。一旦某个网站被拖库，黑客拿你这唯一密码去试所有其他网站（这叫”撞库”），你的微信、邮箱、银行卡可能一夜失守。密码管理器就是来解这个局的：它帮你给每个账号生成并记住不同的强密码，你只需记一个主密码。这一篇讲清为什么它值得。
把密码管理器想成带锁的保险柜：每个账号一把不同的复杂钥匙（强密码），钥匙全锁在柜里；你只拿一把”总钥匙”（主密码）开柜门。小偷拿到一把钥匙也开不了别的锁。
密码复用为什么危险
- 撞库攻击：A 网站泄露了你的账号密码，黑客拿去批量试 B、C、D 网站。你若全用同一套，全军覆没。
- 弱密码易破解：
123456、password这类几秒就被猜中。 - 人脑记不住强密码：
Tq7$mK!9xP这种你记一个都难，更别说几十个。
密码管理器做什么
- 生成强密码：每个账号一键生成长且随机的密码，无规律不可猜。
- 加密存储：所有密码用一个主密码加密存在本地或云端，离开主密码谁也打不开。
- 自动填充：浏览器/手机里装插件，登录时自动填账号密码，不用手敲。
- 跨设备同步：手机、电脑、平板共享同一套密码库（加密同步）。
常见工具
- Bitwarden：开源、免费版够用、跨平台，自托管也行，性价比最高，推荐新手首选。
- 1Password：商业产品，体验精致、家庭共享方便，付费。
- KeePass / KeePassXC：完全本地、开源，文件自己保管，极客向。
- 各大浏览器也自带”密码保存”，但功能弱、跨平台差，不如专业管理器。
安全要点
主密码是命门
主密码一旦泄露，保险柜全开。所以主密码要：
- 足够长且好记：用一句只有你懂的话转成密码（如”我家猫叫土豆2020!”），长比复杂更重要。
- 绝不复用：主密码不要用在别的网站。
- 不写下来贴显示器：记在脑子里，或存在另一处离线地方。
开启两步验证（2FA）
给密码管理器本身也开 2FA（如验证器 App、硬件密钥）。这样即使主密码泄露，没第二步验证也进不去。
备好恢复方式
- 记下”恢复码”并离线保存（打印塞信封）。
- 别只依赖云端，重要时导出加密备份。
迁移建议
别一次性全改，容易乱。从”最重要的几个账号”（邮箱、银行、主邮箱绑定的）开始，逐个生成新密码存进管理器，再慢慢覆盖其他。一个月就能把所有账号换一遍。
常见新手坑
- 主密码设得太简单：为了好记用了弱主密码，等于保险柜用纸糊的锁。
- 只信浏览器保存：功能弱、跨设备差、一旦换浏览器或系统就麻烦。
- 不备份恢复码：忘了主密码又没恢复码，密码库彻底打不开，全锁死。
- 在管理器里存完就忘了主密码：主密码必须自己牢牢记住，它无法”找回”。
小测验
- 问题1：密码复用最大的风险？答案：一处泄露会被撞库，所有同密码账号连带失守。
- 问题2：密码管理器的”主密码”为什么最关键？答案：它加密着全部密码库，泄露或太弱会让所有账号暴露。
- 问题3：新手首选哪个工具？答案：Bitwarden，开源免费、跨平台、够用。
更多实战：第一次把密码库建起来
以 Bitwarden 为例，第一步：
- 注册账号，设一个长主密码（用一句只有你懂的话转成密码）。
- 装浏览器插件和手机 App，登录同一账号。
- 打开一个常用网站，登录时在插件里点”保存”，它记下账号密码。
- 之后访问该网站，插件自动填充，不用手敲。
坚持一周，你最常用的十几个账号就都进了保险柜，且每个都是不同的强密码。
主密码忘了怎么办
这正是密码管理器最危险的单点：主密码无法”找回”（设计上就不存明文）。所以：
- 主密码记在脑子里，或离线写在纸上锁起来。
- 记下”恢复码”并存到另一个安全地方（别和主密码放一起）。
- 给管理器本身开两步验证，双保险。
自测：你真的懂了吗
- 密码复用最大风险？答案：一处泄露会被撞库，所有同密码账号连带失守。
- 密码管理器的”主密码”为什么最关键？答案：它加密着全部密码库，泄露或太弱会让所有账号暴露。
- 新手首选哪个工具？答案：Bitwarden，开源免费、跨平台、够用。
常见认知误区
密码管理这块，误区往往来自”怕麻烦”。第一，所有账号用同一个密码——这是最危险的习惯，一处泄露被撞库，全部失守，绝不可取。第二，主密码设得太简单——为了好记用了弱主密码，等于保险柜用纸糊的锁，主密码要长且唯一。第三，只信浏览器保存——功能弱、跨平台差、换浏览器或系统就麻烦，不如专业管理器。第四，不备份恢复码——忘了主密码又没恢复码，密码库彻底打不开全锁死，恢复码要离线保存。第五，在管理器里存完就忘了主密码——主密码无法”找回”，必须自己牢牢记住，它不能依赖任何找回机制。第六，觉得迁移太麻烦——其实从最重要的几个账号开始，逐个生成新密码存进去，一个月就能把全部账号换一遍，投入产出比极高。密码管理器不是可选项，是数字时代的必备基础设施。
这一篇你该记住的
- 密码复用 = 撞库风险，一个泄露全完蛋。
- 密码管理器为每个账号生成强密码、加密存储、自动填充、跨设备同步。
- 推荐 Bitwarden（免费开源）、1Password（付费精致）、KeePass（本地极客）。
- 主密码要长且唯一、不复用、记在脑子里；给管理器本身开 2FA。
- 备好恢复码离线保存，防止主密码丢失锁死全库。
下一篇我们讲 tmux：终端复用如何让”关掉窗口程序也不中断”，以及怎么分屏远程开发。