新手必看密码生成的第一步不是选符号，是先把长度定下来
长度决定指数级增益，符号只带来线性增益。先定长度，再谈字符集，顺序反了很多参数就白配了。
密码生成 · 关于我们
我们做的是一个很窄的题目：把「密码生成」这件事，从随手敲一串字符，变成一套能讲清原理、能对照参数、能自己判断强弱的完整知识。这个站点不卖密钥、不接私活、不做下载站，只把公开可得的信息梳理成能直接用的东西——你打开就能读，读完就能动手。
信息导航 · 内容解析
不托管任何文件
来源公开 · 版权归原作者
编辑部人工校订
Company Profile
我们是谁：一支只研究「密码怎么生成才够稳」的小编辑部
「密码生成」这个站点挂在 mi-ma-shengcheng.cn 这个域名下，团队不大，常驻写稿的就四五个人，来自运维、安全测试和产品三个方向。起因其实很朴素：我们各自在工作中都见过太多「看起来很长、其实很脆」的口令——有人把生日加个感叹号，有人把同一个密码用了七年，还有人把公司统一发的初始密码改成 Abc123456 然后一直用下去。这些密码在暴力破解面前撑不过几秒，但当事人往往毫不知情。
所以我们把「密码生成」拆成几个能讲清楚的问题：随机到底是怎么随机的、长度和字符集各贡献多少强度、什么样的口令是真正难以被穷举的、生成之后该怎么保存、不同场景（网站登录、数据库、Wi-Fi、设备初始口令）该用什么参数。我们不生产密码，也不替你保管密码——我们做的事情更接近一本持续增补的手册，把散落在各处、但确实可验证的知识点整理成一条能走通的路径。
站内的内容以「导航 + 解析」为主：解释原理、对比方案、给出可复现的操作步骤。所有涉及具体工具、算法、标准的描述，我们都尽量回到公开资料本身去核对；如果某个细节我们没查到可靠依据，宁可先空着，也不会用一句听起来很顺的猜测把它补齐。这条取舍写在这里，也写进我们每一篇稿子的编辑流程里。
我们的边界很简单：不展示无法核实的数据与评分，不编造榜单、奖项和用户量；信息尚未确认时保持空缺，不做猜测补齐；不提供任何盗版、破解或侵权资源的获取路径。
Positioning
密码生成先把定位说清楚，省得你多翻几页
下面这几个标签，基本概括了你在本站会看到什么、不会看到什么。如果你在找的是一个能直接下工具、导出密码文件的站点，这里可能不合适。
内容导航站
原理解析为主
免费浏览
无需注册登录
不托管任何文件
来源公开可查
Learning Path
密码生成：从「随便敲一串」到「知道自己在配什么」的五级路线
很多人卡在第一级就停了，其实后面每一级都只多花你十分钟。按顺序走一遍，你对口令强度的判断会完全不一样。
-
第一级 · 先分清「长度」和「复杂度」哪个更重要
多数人的直觉是「必须有大写字母和符号」，但真正决定穷举难度的是组合空间。长度每加一位，组合数按字符集大小乘一次；字符集扩充带来的增益是线性的，长度带来的增益是指数的。所以优先加长度，再考虑字符种类。
-
第二级 · 学会估算组合空间的大小
字符集大小乘以自身、重复位数次，就是这个长度下的排列总数。你不用心算，只要记住几组数量级：小写 26 个字符，12 位大约是 10 的 16 次方级别；大小写加数字共 62 个字符，12 位能到 10 的 21 次方级别。这个量级感一旦建立，很多「看起来很长」的密码就会被你一眼看穿。
-
第三级 · 区分真随机和伪随机
「随机」两个字在程序里是有档次的。基于时间的伪随机数生成器，如果种子可预测，生成出来的序列就能被复现；而操作系统提供的密码学安全随机源，才适合用来生成口令。判断方式很土但有效：看这个生成行为是否依赖时间戳、是否可被同一环境重复出同样的结果。
-
第四级 · 按场景选参数，而不是一套走天下
网站登录口令要长、要好记、要能配合密码管理器；数据库或服务密钥要纯随机、要能定期轮换；设备初始口令要一次性、用完即改；Wi-Fi 口令要兼顾输入便利。同一串字符放在不同场景，风险和成本完全不同，参数自然也该不同。
-
第五级 · 把「生成」和「保存」当成一件事
再强的口令，如果记在便签上贴在显示器边，等于没生成。这一级的核心是识别口令的存储方式：优先交给专门的密码管理器，其次是自己掌控的加密存储；绝不要明文放在聊天记录、云笔记、邮件草稿里。生成只是第一步，保管才是长期战。
Fresh Updates
密码生成最近在写什么：专题更新时间线
这一列是我们近期校订或新增的专题方向，日期为最近一次改稿时间。标题写成问句或清单式，方便你判断要不要点进去。
- 密码生成到底该多长？12 位、16 位、20 位分别能扛住什么级别的穷举
- 为什么「大小写+数字+符号」不等于安全：三个常见误解的拆解
- 密码生成之后怎么存？从便签到密码管理器的四种做法对比
- 伪随机与真随机：生成口令时那个「随机源」到底指什么
- 同一串口令用在不同网站，风险会叠加吗？撞库的连锁反应
- 设备初始密码、Wi-Fi 口令、数据库密钥：三种场景的参数怎么定
- 密码生成工具的常见坑：本地生成与在线生成差在哪
Editor's Picks
编辑部挑出来的几条，先看这些就够用
都是围绕「密码生成」展开的条目，每条只讲一个具体问题。想看完整推导，顺着对应的锚点往下读。
避坑指南这三个密码生成习惯，看着谨慎其实很脆
把单词首字母拼起来、把日期倒着写、在末尾统一加感叹号——这三类规律都能被规则化字典命中。
深度盘点四种口令存储方式，安全性和便利性怎么权衡
纯记忆、便签、云笔记、密码管理器，各自的暴露面不同。多数人该选第四种，但要知道它的前提。
热门精选在线生成和本地生成，差别到底在不在「联网」这一步
关键不在是否联网，而在生成过程是否可被记录、随机源是否可信、结果是否经过传输链路。
原理拆解熵值不是玄学：用一个数量级感判断口令强弱
不需要公式，记住字符集大小与位数的关系，就能对一串口令的穷举难度做出粗判。
场景实操给设备初始口令、Wi-Fi、数据库分别配参数的思路
一次性、长期使用、机器对机器，三种生命周期对应三种参数策略，混用就会出问题。
Editorial Team
密码生成写这些稿子的人
站内所有条目都经过至少两人交叉校对，涉及标准与算法的部分会回到公开资料核对。下面是我们常驻的几位。
陈叙
主编 · 内容方向
十年运维出身，负责「密码生成」主线稿件的选题与终审，偏好把参数讲成能直接照做的清单。
林知远
技术撰稿 · 原理解析
负责随机源、熵值估算与算法相关的拆解，习惯先列出前提条件再给结论，不写没有依据的判断。
苏晚
场景编辑 · 实操栏目
把原理落回具体场景，负责设备口令、Wi-Fi 与数据库密钥这几类生命周期不同的参数写法。
周钦
校对 · 事实核查
负责核对站内引用的公开资料与措辞边界，凡查不到可靠来源的说法一律先撤下，不留模糊表述。
Comparison
几种常见「生成 + 保管」组合的横向对比
下表只做思路对照，不涉及任何具体产品的评价。选哪种取决于你的使用频率、设备数量和能接受的记忆负担。
| 做法 | 强度可控性 | 日常便利性 | 主要风险点 | 适合谁 |
|---|---|---|---|---|
| 纯人脑记忆 | 偏弱，容易被规律化猜测 | 高，随时可用 | 长度受限，多站点复用会连带失守 | 只有两三个低频账号的人 |
| 纸质便签或本地文本 | 较强，可放长口令 | 低，携带与查找都麻烦 | 物理暴露，一旦被看到即全部泄露 | 极少登录、能锁好存放位置的人 |
| 云笔记或聊天记录 | 较强 | 较高，多设备同步方便 | 与账号体系绑定，账号失守则口令一并暴露 | 不建议作为主要方案 |
| 专门的密码管理器 | 强，可统一生成与轮换 | 高，自动填充省事 | 主密码成为单点，需重点保护与备份 | 账号多、设备多的长期使用者 |
Deep Dive
深度解读：密码生成这件事，新手最容易在哪几步翻车
下面这些不是理论推演，是我们在整理资料和实际接触用户反馈时反复见到的具体问题。每一条都给了能立刻动手的做法。
密码生成坑一：把「复杂」当成「安全」的同义词
很多人拿到一串带大小写、数字、符号的口令就安心了，但复杂度和强度不是一回事。如果这串字符是按可预测规律拼出来的——名字拼音首字母加出生年份加感叹号——那么它虽然满足了网站的字符要求，却依然落在规则化字典的覆盖范围内。
可行的做法是：先用系统提供的安全随机源生成，再决定要不要为了记忆做「可记忆化」处理；如果要做，也要保证处理方式不会把组合空间压回一个小集合。
坑二：长度不够，其余都白搭
这是最容易被低估的一点。字符集从 26 个扩到 62 个，组合空间大约乘 2.4 倍；而长度从 8 位加到 12 位，组合空间是四次方量级的提升。所以当你要在「加符号」和「加长度」之间取舍时，优先加长度。
- 网站允许 16 位以上：直接配到 16 位起步
- 限制 12 位封顶：把字符集用满，别浪费位数
- 限制 8 位且强制纯数字：这类场景本身强度上限很低，需配合其他验证手段
密码生成坑三：同一串口令走遍所有站点
一个站点泄露，攻击者会拿同一组账号密码去其他站点尝试登录，这就是撞库的基本逻辑。只要你在多个地方复用，任何一个薄弱站点的失守都会连带放大。
务实的解法不是记住十串完全无关的口令，而是让每个站点有一处独有变化，并且把这份对应关系交给密码管理器保存，而不是交给记忆。
坑四：生成完就随手存进最方便的地方
「先存着，回头再整理」是常见心态，但口令一旦进了聊天记录或未加密的云笔记，暴露面就已经扩大了。存放位置的选择，应该和生成同时决定，而不是事后补。
判断标准很简单：这份存储是否与你的账号体系强绑定？如果是，那么账号一旦失守，口令也一起失守，等于把两把锁串在同一根绳上。
密码生成坑五：忽视口令的生命周期
设备初始口令、Wi-Fi 口令、数据库密钥，这三类东西的预期寿命完全不同。初始口令只用于第一次配置，用完就该改；Wi-Fi 口令要在便利和强度之间找平衡；数据库密钥通常需要定期轮换，并且要能支持在不影响业务的前提下更换。
把生命周期想清楚，参数自然就定了。反过来，如果给一次性口令配了超长随机串，往往只会被记在便签上，反而更不安全。
一个能立刻用上的自查清单
- 这串口令是不是由可预测的规律拼出来的
- 长度是否达到该场景能接受的上限
- 是否与其他站点完全复用
- 存放位置是否与账号体系强绑定
- 是否设定了合理的更换或轮换时机
五条里只要有一条是否定的，就值得花十分钟调整。想继续往下看细节，可以顺着 进阶路线 逐级过一遍。
Reader Voices
密码生成读者留下的几句话
下面这些来自邮件与留言，均已获得授权并做了必要脱敏。我们不修饰措辞，也不往里添加没有出现过的评价。
「之前一直以为加了符号就万事大吉，看完长度和字符集那段才反应过来，我那串密码其实只有 9 位。」
「最有用的不是结论，是那个自查清单。照着过了一遍，发现自己有三个站点是同一个口令。」
「喜欢你们不硬凑数据。有些站点动不动就写提升百分之多少，这里反而说查不到就空着。」
FAQ
关于密码生成，大家最常问的八个问题
答案尽量给到能直接用的程度。如果某条你觉得还不够细，欢迎通过下方联系邮箱告诉我们。
密码生成到底是什么意思？
指用程序或工具，按设定的长度和字符集，从可信的随机源里取出字符，拼成一串没有规律、难以被猜中的口令。它和「自己想一个密码」最大的差别在于：人想的密码往往带有可被识别的规律，而生成过程的目标就是消除这种规律。
需要注意的是，生成只是第一步，生成之后怎么保存、在哪些场景用、多久换一次，同样决定最终的安全水平。这几部分我们在 深度解读 里有展开。
在线生成的口令安全吗？会不会被记录？
关键不在「是否联网」，而在三个点：生成过程用的是什么随机源、结果有没有被传输或存储、页面是否有明确的隐私说明。如果生成完全在浏览器本地完成、不发送到服务器，风险主要就落在设备本身是否干净。
我们的建议是：能本地完成就不要走网络；确实要用在线方式时，优先选说明清楚、不要求登录、不诱导你保存到它自己账号体系里的方案。这也是本站只做信息整理、不提供生成服务的原因之一。
用这个站需要注册或者登录吗？
不需要。本站是信息导航与内容解析站点，所有页面都可以直接浏览，不设注册、不设登录、不收集你的账号信息。你看到的都是文字内容，没有需要提交个人信息的环节。
反过来说，如果某个页面要求你输入手机号或邮箱才能继续阅读，那它就不是我们。遇到这类情况，欢迎通过邮件反馈。
密码生成的长度和字符集该怎么配？
先定长度，再定字符集。长度带来的增益是指数级的，字符集是线性的，所以只要站点允许，就把长度配到能接受的上限，一般 16 位起步比较稳妥。字符集方面，能用满大小写加数字就用满，符号是否加入取决于该站点是否允许以及输入是否方便。
不同场景的参数策略差别很大，设备初始口令、Wi-Fi 口令和数据库密钥各有各的考量，我们在 进阶路线 的第四级里做了区分。
密码生成和「密码管理器」是一回事吗？
不是。生成解决的是「怎么造出一串难猜的口令」，管理器解决的是「造出来之后存在哪、怎么取用」。两者通常配合使用：管理器内置生成功能，生成完直接入库，省掉中间的手工搬运环节，也就减少了明文暴露的机会。
如果暂时不用管理器，至少要做到生成与保存分开考虑，别让同一份存储同时承担两个角色。
多久更新一次内容？
我们保持每周至少一次校订或新增，重大方向调整会同步更新时间线。你可以在 专题更新时间线 里看到最近几次改稿的具体日期，日期为最近一次修改时间，不做提前标注。
如果某篇内容引用的公开资料发生变化，我们会优先修订它，而不是新写一篇覆盖掉。
发现内容有错误，怎么反馈？
直接发邮件到页脚标注的客服邮箱即可，尽量在邮件里写明具体页面、具体段落和你认为有问题的依据。我们会在收到后核对，确认有误的会在下一次校订中修改并更新时间。
如果涉及版权或权益问题，请走 内容说明 里列出的投诉渠道，我们承诺在 48 小时内响应。
本站提供下载或者工具吗？
不提供。本站不托管、不上传、不代理任何文件或程序，也不提供任何破解、破解版或侵权资源的获取路径。所有内容都是围绕「密码生成」这个主题的文字整理与解析。
如果你需要实际可用的生成工具，建议选择有明确说明、可核验来源的正规产品，并留意其隐私条款。更多边界说明见 内容说明与免责声明。
Disclaimer
内容定位与免责声明
把规则写在前头，比事后解释更省事。以下几条是我们对内容来源、版权和使用边界的正式说明。
- 站点定位。本站是信息导航、内容解析与资讯整理站点，围绕「密码生成」主题整理公开可得的原理、参数与场景知识，供读者参考学习。
- 不托管、不上传、不代理。本站不存储、不转发、不代理任何文件、程序或流媒体资源，也不提供任何下载入口，与任何第三方工具均无隶属或代理关系，非其官方渠道。
- 来源与版权。站内涉及的标准、算法与资料性描述，均整理自公开页面与公开文档，版权归原作者或原发布方所有。若引用内容标注了出处，请以原出处为准。
- 投诉与处理时效。如你认为本站内容侵犯了你的合法权益，请发送邮件至页脚标注的版权投诉邮箱，写明具体页面与权利依据。我们承诺在收到有效通知后 48 小时内核实并处理，包括修改或移除相关内容。
- 未成年人提示。本站内容面向具备基本网络安全常识的读者。未成年读者请在监护人指导下浏览，并避免在任何网站上提交个人身份信息。
- 编辑取舍。我们不展示无法核实的数据与评分，不编造榜单、奖项、用户规模等信息；信息尚未确认时保持空缺，不做猜测补齐，也不以「大概」「据悉」等模糊措辞填充。
Contact
联系我们
内容纠错、版权投诉、合作与建议，都可以走下面这些渠道。邮件我们一般在一个工作日内回复。
密码生成编辑部与客服
密码生成 · 编辑部客服邮箱：service@mi-ma-shengcheng.cn
商务合作：bd@mi-ma-shengcheng.cn
版权投诉：copyright@mi-ma-shengcheng.cn
联系电话：400-000-0000（工作日 9:00–18:00）
通讯地址：中国 · 某市某区某某路 88 号 · 内容编辑部（收）
反馈时请带上这些信息
具体页面地址与段落位置你认为存在的问题与判断依据
若为版权投诉，请附权利证明
期望的处理方式（修改 / 移除 / 补充说明）
如果你是第一次来，建议先从 五级进阶路线 走一遍，十分钟就能建立起对强度的基本判断。