密码短语（Passphrase）是什么？好记又难猜的设密码方法
结论先行：需要你亲手记住的那少数几个密码，比如密码管理器主密码、电脑登录密码，最适合用密码短语：随机挑 4 到 5 个互不相关的词连成一串。它长、好记、难猜，正好补上随机乱码记不住、短密码又不安全的两头短板。但短语必须随机拼，歌词、名言、成语都不算数，下面讲清区别和造法。这也是为什么各大安全机构在推荐“记不住密码”的解法时，总是先提短语、再提管理器。
官方规则核对：2026-10-29 · OpenAA 中文整理
什么是密码短语
密码短语（passphrase）就是用一串单词代替一串字符当密码，比如把“香蕉、梯子、河流、邮票”这类毫无关联的词连起来。它的总长度轻易超过 20 个字符，强度来自长度和随机性，而不是靠符号把自己都难住。
需要区分的是：短语密码适合必须靠脑子记的少数密码，比如密码管理器主密码、电脑和手机的解锁密码。普通网站密码不用你记，交给生成器和管理器即可，不必都做成短语。
为什么随机词串比符号乱码更好记也更强
人脑擅长记画面和故事，不擅长记无意义符号。四个随机词可以想象成一幅荒诞画面，记得牢；而每个词都是从几千个常用词里随机抽的，组合空间足够大，攻击者没法靠猜你的喜好来缩小范围。
对比之下，像 Tr0ub4dor&3 这类“复杂”短密码，看起来唬人，其实替换套路早被收进破解规则，真实强度远低于一个四词随机短语。这也是 NIST 等机构近年推荐短语的核心原因。
还有一个常被忽略的细节：短语的强度按词数算，不按花样算。与其在一个词上反复加符号，不如多加一个随机词——每多一个词，攻击者要试的组合就成倍增加，而你的记忆负担只是多记一个画面里的元素。
正确拼法：随机选词，再做个人化改造
第一步是真随机：可以用骰子查词表、用生成器的随机结果打底，或者闭眼翻书指词，关键是别自己“想”词——人想出来的词永远围绕自己的生活打转。第二步把 4 到 5 个词用短横线、空格或某个固定符号连起来，总长最好在 20 个字符以上。
第三步做只有你懂的微改造，比如在固定位置插入一个数字或某个词首字母大写。改造是为了增加个人特征，但别把改造变成生日、年份这类可猜信息。
这些短语千万别用
歌词、诗句、名言、电影台词是最危险的短语来源，它们全部躺在公开文本库里，破解工具会整句试探。同理，成语连起来当短语也不行，成语总量有限，本质是一个小字典。
另外别用家人名字加地名、学校加毕业年份这类“只有我知道”的组合——在社交媒体时代，这些信息对定向攻击者来说接近公开。短语的每个词都应与你的个人生活无关。
落地：先生成，再转成你的短语
动手时可以先用 password-generator 生成一段高强度随机串作为强度参照，或借它的随机结果挑选词与数字的组合，再按上面的方法拼成自己的短语。拼好后不要立刻用在重要账户上，先默写三遍、隔天再默写一遍，确认真记住了。
最后把短语密码写进纸质备忘、封好放在家里固定位置，作为忘记时的兜底。纸质备份放在自己家里，风险远低于把主密码明文存在手机备忘录里。
常见问题
密码短语和普通密码哪个更安全？
在长度相同的前提下差别不大，但短语能用可记的成本轻松做到 20 个字符以上，所以对需要记住的密码，随机短语通常比 10 位复杂密码强得多。
短语中间要加符号和数字吗？
可以加，但不是必需。强度主要来自词数和总长度；如果网站强制要求字符类型，加一个固定符号和数字在词与词之间即可。
中文词做短语可以吗？
很多系统对中文字符支持不稳定，可能出现编码问题。更稳妥的做法是用英文词或拼音之外的随机字母词组合，并确保输入法环境一致。
一个短语能用在所有账户上吗？
不能。短语只是解决记忆问题，复用的风险和普通密码完全一样。核心账户的主密码用短语，普通网站仍应各自独立、随机生成。
检查我的材料
→ 使用密码生成器。按需要继续使用下面的相关工具。
官方来源与适用范围
本文为中文整理的生活指南，数字为估算或区间，具体以官方最新公布为准。
攻略看完了，去做一次模拟考试
到 dmv.openaa.com 选择你的州，刷中文题库、做模拟考试，考前检验一下。去刷 DMV 中文题库 →