检测密码安全程度，3个坑最容易踩错

密码框旁边弹出一个绿色对勾，很多人心里就踏实了：行了，这密码安全。可那个勾能证明的东西少得可怜。检测密码安全程度这件事，真正容易踩错的地方不在工具上，在你对结果的理解上。下面这三个坑，我见过太多次了，有些还是自己踩过的。

检测密码安全程度这件事，工具能测到的其实有限

先说清楚工具在干嘛。大部分密码强度检测，算的是这么几件事：长度、用了几类字符、是不是命中了常见词表、有没有连续重复。它给出的分数，本质是一个「别人猜你费不费劲」的粗略估算。它不知道你这串字符是不是已经躺在某个公开的泄露名单里，也不知道你在另外多少个站点上用过同一串。工具没毛病，是我们给它加了太多戏。

第一个坑：把「强度通过」当成「安全」

后台密码框要求大小写加数字加符号，用户就顺手敲一个 P@ssw0rd 这种。看着挺花，检测分数也高。可这类东西在常见的口令字典里排得很靠前，替换规则（a 换 @、o 换 0、末尾补几个数字）早被字典收录了。键盘上划过去的 qwer、1qaz2wsx 也一样，一测分不低，真试起来撑不了多久。

我的看法很土：与其在字符种类上做文章，不如把长度加上去。几个不相关的词拼在一起，比一个花哨的短串耐猜得多。工具给高分不代表别人猜不动，这两件事别混。

第二个坑：只测强度，压根不碰泄露名单

撞库的逻辑很简单：黑客不猜密码，他手里有现成的。一堆站点被拖库之后，账号和密码会流到公开渠道，有人整理成字典，拿去挨个站试。所以你那个强度检测拿满分的密码，如果早就出现在泄露库里，等于门锁是新的，钥匙样张已经贴过大街上。

检测密码安全程度最少被做的一步，就是拿密码去比对泄露名单。现在有公开的泄露查询服务，输入邮箱能查到哪些事件牵扯到你；也有离线的字典可以自己比对哈希，用哪个看个人习惯，具体规则以对应服务或官方页面说明为准。顺序别搞反，先查再改。不少人改了个新密码，新密码本身早就在名单里。

泄露名单这块，查的方式其实分两种

一种是在线查，输入邮箱或账号，它返回你牵扯到哪些公开事件、大概哪一年发生的。这种方式省事，缺点是得把邮箱交出去，别用那种搜出来的、来路不明的查询站——你没法确认它记不记录输入内容。真要查，挑口碑稳的，或者干脆用自己单独的一套邮箱去查，别拿主账号往上贴。

另一种是自己动手：把公开字典下下来，本地写个小脚本，把你要比对的字符串按同一套规则算出哈希，再跟字典里的记录对上。麻烦一些，但明文不离开自己的机器。用哪种取决于你手上的东西有多敏感，具体算法和字典格式以对应服务或公开文档的说明为准。

查到记录也别急着慌。先看清楚是哪个站点、什么年份的事，有些是很老的拖库事件，你那个账号早就不用了，密码也换过好几轮。真正要紧的是那些还活着、还在用的账号。列出来，一个一个处理，不用一口气全搞完。

工具只是辅助。我一般按这个顺序走：先看长度，短于自己定的底线就别谈别的；再去公开渠道查一遍有没有泄露记录；然后把复用范围列出来，一个个替换；最后翻一遍哪些系统还留着旧会话。

还有一件常被忽略的事：二步验证。密码这一层再怎么检测都有上限，多一道验证，被撞开之后损失能小很多。这不是万能药，但性价比高。

第三个坑：改完就当结束了

改一次密码，心理上像完成了一件大事。可后面的活儿才是关键。旧的会话有没有失效、旧密码是不是还能登、同一串密码还在哪些后台用着——这几条不查，等于换了个锁芯，旁边的窗还开着。

我见过最普遍的一种：测试环境、备份后台、对象存储控制台、几年前注册的老博客，全是同一串。主站那台改得很勤，旁边这些没人管。真要评估，拿同一串密码在几个自家系统上分别登一下试试，你就知道漏洞在哪儿了。别去试别人的东西。

改的顺序：先改那个能替你找回密码的

改密码不是随手挑一个开始改。第一顺位是邮箱，因为几乎所有找回流程都往那儿发验证码，邮箱一丢，后面全是连锁反应。第二顺位是域名管理面板和云控制台，这两处丢了，别人动的是你的解析和机器。主站后台排第三。测试环境、老项目那些放最后，但别漏。

改完还有一步：确认旧会话失效。有些面板改完密码不踢下线，之前的登录令牌还能用一阵子，得手动退出所有设备，或者去安全设置里点一下强制下线。改完立刻用新密码重新登一次，能登上再算完成；登不上说明规则或缓存有坑，早点发现比晚点发现好。

最后一个残留特别隐蔽：应用配置里写死的旧密码。数据库连接串、定时脚本、部署文件里都可能留着明文，账号密码改了，程序连不上数据库才报错，人才想起来这回事。动手之前先在想改的地方按旧字符串搜一遍，把该换的换掉，备份压缩包里那些也顺手处理一下——备份文件本身就是最容易被人翻出来的地方。

频率上，别等出事才想起来。后台账号、域名管理面板、云控制台这类入口，隔段时间复查一次就行，不用天天盯着。哪个入口一旦被进，代价都不小。

回到那三个坑：把绿勾当结论、只测强度不看泄露、改完就撒手。三个里最容易被放过的是第二个，因为它需要的动作不在浏览器里，得去别处查。下次看见那个绿色对勾，就当它只说了一句话：这串字符不算太短。剩下的，自己补上。