你有没有过这种经历：密码管理器的主密码不敢设太简单，但又怕自己忘了，最后设了个"Yue8#家WiFi@2026"这种四不像——结果忘了，或者被破解工具规则轻松命中。这篇文章介绍一个更聪明的做法：密码短语（Passphrase）。
一、什么是密码短语？
密码短语就是用几个随机、互不相关的单词拼成的长密码，单词之间用空格、连字符或符号隔开。比如：
correct-horse-battery-staple
紫色-企鹅-火山-磁带（中文短语同理）
这个说法来自 2011 年很有名的 xkcd 漫画（第 936 期）：Troubador 这种 11 位混合密码，和 correct horse battery staple 这条 28 位短语，在暴力破解面前安全性相当——但后者好记十倍。密码学里把「单词的数量」看作和「字符的种类」同样重要的随机来源。
二、为什么密码短语又安全又好记？
密码的强度取决于熵值——也就是"攻击者平均要猜多少次"。对短语来说，猜的是单词组合，不是字母组合：
- 假设你从 5000 个常用词里随机选 4 个：组合数是 5000⁴ ≈ 6.25 × 10¹⁴，约合 49 bits 熵；
- 如果选 6 个词：约 74 bits，和 12 位混合随机密码相当；
- 如果词表更大、词更多，熵值继续涨。
好记的原因也很朴素：4 个单词比 16 个随机字符好记得多，尤其配合一个能脑补的画面（"紫色的企鹅站在火山上看磁带"）。人脑对"有意义片段"的记忆能力远超对无意义字符的记忆能力，这是记忆心理学的基本规律。
关键前提：单词必须真的随机、互不相关。"我爱北京天安门"不算密码短语——它是一句有意义的句子，句子和单词的随机性完全不同，句子的组合空间远小于随机单词组合，而且大概率被收录进词典。
三、什么时候用密码短语，什么时候用随机密码？
两者不是替代关系，是分工关系：
| 场景 | 推荐方式 | 原因 |
|---|---|---|
| 密码管理器主密码 | 密码短语（5-6 个词） | 唯一必须靠人脑记的密码，短语最划算 |
| 需要口头/手写共享的密码 | 密码短语 | WiFi 密码、临时共享密码，单词比乱码好传达 |
| 网站注册、普通账号 | 随机密码 + 管理器保存 | 不用记，随机密码熵值更可控 |
| API 密钥、数据库密码 | 32 位以上随机密码 | 机器读取，短语毫无必要 |
一句话：需要人记的用短语，不需要人记的用随机密码。把两件事混在一起，往往两头不讨好。
四、怎么自己生成一个密码短语
- 选 4-6 个词：彼此毫无关联的名词/形容词/动词，别用自己名字、宠物名、常用口头禅；
- 加分隔符：单词之间用
-、_或空格隔开，顺手插一个数字或符号（如把某个词改成Volcano2!）——这一步增加的是防"字典拆分攻击"的余地； - 长度控制：短语总长建议 20 字符以上，4 个词通常就够；
- 避免完整句子：不要用名人名言、歌词、歌词变形——这些都在攻击者的"常见短语库"里。
如果你懒得自己挑词，本站的在线密码生成器虽然主攻随机字符密码，但配合密码管理器（Bitwarden 自带密码短语生成功能）也能一条龙完成：管理器负责生成和保存短语，本站负责生成需要高熵的随机密码。
五、常见问题
- 或 _ 做分隔符就满足了大多数网站的符号要求；如果网站还要数字，把其中一个单词里的字母替换成数字即可（注意别用 O→0 这种常见替换，用无规则一点的）。总结：密码短语用"单词的随机组合"换来了"可记忆性"，专治需要人脑记的密码；随机密码用"字符的完全随机"换来了"最高熵"，适合所有不需要记的场景。两者配合，密码管理这件事就不再有"记不住"的难题了。