第 2 章：密码和密码管理器 — 每扇门都用不同钥匙¶

📋 本章概览¶

同一个密码复用会把一次泄露变成连锁失窃。密码管理器像带锁的钥匙柜，负责生成和填写不同密码；主密码和恢复方式必须单独保护。

密码的任务不是让你记住更多¶

密码主要要解决两件事：让别人难以猜到，并且即使一个网站发生泄露，也不要连带打开你的其他账号。于是“每个重要服务使用不同密码”通常比“所有地方使用一个超级复杂密码”更重要。密码管理器的意义，就是把记忆工作交给工具，让你可以采用更好的区分策略。

选择方案时也要考虑恢复成本。主密码、恢复邮箱和恢复码本身是新的高价值入口，需要单独保护；如果只追求自动填充，却没有想过设备丢失或管理器不可用时怎么办，安全体系仍然是不完整的。

2.1 好密码要解决什么问题¶

密码不应当是姓名、生日、手机号、学校简称或连续数字。更重要的是每个服务不同；一个服务泄露时，其他服务仍然不能直接被打开。不要为了“好记”把所有密码变成同一个模式。

2.2 选择密码管理方式¶

可以使用可信密码管理器，也可以先使用系统提供的密码保存功能。选择时查看官方来源、加密和恢复说明；不要把所有密码放进一个来路不明的浏览器插件。主密码不能和邮箱密码相同。

2.3 保存一个练习账号¶

1. 打开密码管理器的官方应用或官网。
2. 创建一个练习条目，不要第一次导入所有真实密码。
3. 使用随机生成功能创建密码。
4. 保存服务名称、登录网址和用户名；不要把验证码写进备注。
5. 退出密码管理器，再重新打开并查找这个条目。
6. 确认你知道主密码和恢复方式，但不要把它们写入云端普通笔记。

2.4 浏览器自动填充¶

自动填充很方便，但公共电脑和共享用户必须关闭或退出。输入密码前看地址栏域名，防止把密码填入钓鱼网站。

✅ 验证步骤¶

在你信任的密码管理器中为一个低风险练习账号生成唯一密码；退出并重新登录；确认自动填充只发生在正确域名，不要把密码复制到聊天框测试。

❌ 常见情况¶

📝 本章总结¶

• 唯一密码比“看起来复杂但到处复用”更重要。
• 主密码、恢复码和 API Key 不能混在普通聊天里。
• 自动填充前必须核对域名。

✏️ 课后练习¶

把一个低风险账号的重复密码替换成唯一密码，再检查是否启用了登录提醒；记录官方恢复入口，不记录密码本身。

🔮 下一章预告¶

下一章增加第二道验证门。