哪些密码规则反而会降低系统安全性

严格的密码规则有时看起来很安全，却会让用户选择更弱的密码。问题不在于制定策略，而在于优化了那些人类一定会绕开的规则。

好的密码策略应该鼓励长、唯一、难猜的秘密，而不是强迫用户套用攻击者早就知道的模式。

字符组成规则会制造模式

“必须一个大写字母、一个数字、一个符号”这类规则，经常产生可预测密码：

• Summer2026!
• CompanyName1!
• Password123!

攻击者知道这些模式。长口令短语或生成密码，通常比满足组成清单的短密码更好。

频繁强制轮换会反噬

每隔几周强制改密码，常常导致用户只做小改动：

• ProjectMay!1
• ProjectJun!1
• ProjectJul!1

发生泄漏或角色变化时，轮换很有价值。但没有证据的例行强制轮换，往往会鼓励复用和可预测序列。

最大长度太低很危险

最小长度很重要，最大长度应该足够宽松。过低的最大长度会阻止密码管理器输出和口令短语。

如果系统还静默截断密码，问题更严重。用户以为设置了一个秘密，系统实际保存的是另一个。

禁止粘贴会伤害密码管理器

禁止在密码框粘贴，会让强生成密码更难使用。结果是用户回到短且好记的密码。

密码管理器已经是安全模型的一部分。密码策略应该支持它，而不是对抗它。

更好的默认值

更推荐这些规则：

• 要求合理的最小长度。
• 允许长密码和口令短语。
• 允许粘贴。
• 检查已泄漏密码库。
• 支持多因素认证。
• 鼓励使用密码管理器。

可以用 密码生成器 生成测试密码和口令短语示例，同时记住：存储密码仍然需要专门的密码 Hash 方案。

策略目标

目标不是让密码看起来复杂，而是让它难以猜测、不容易被复用，并且让用户能安全地处理它。