密码短语是几个随机单词串在一起，例如 walnut-ferry-tidal-oxygen-clamp-violin。密码则是一串随机字符，例如 q7#Vd!m2Kp@x。两者都可以同样强：从一个很大的词表中随机选出的六个单词，强度大约等同于 12 个随机字符。对于密码管理器会自动填写的内容，请使用免费密码生成器生成的随机字符密码；对于少数必须记住或手动输入的内容，则使用密码短语。
两者的关键都在于"随机"。你自己挑选的密码短语，比如一句歌词，是很弱的；由骰子或软件挑选的密码短语才是强的。
快速对比
| 随机密码 | 随机密码短语 | |
|---|---|---|
| 外观 | q7#Vd!m2Kp@x |
walnut-ferry-tidal-oxygen-clamp-violin |
| 强度来源 | 每个位置有许多可能的字符 | 每个位置有许多可能的单词 |
| 常见的强密码长度 | 16-20 个字符 | 6-7 个单词 |
| 容易记住吗？ | 不容易 | 比较容易 |
| 容易在手机或电视遥控器上输入吗？ | 不容易，需要频繁切换符号 | 容易，基本是小写字母 |
| 到处都能用吗？ | 几乎可以；有些网站限制长度或禁止某些符号 | 有些网站限制长度，无法容纳很长的短语 |
| 最适合 | 存放在密码管理器中的所有内容 | 管理器的主密码、电脑登录、经常要输入的 Wi-Fi 密码 |
强度如何衡量
强度以熵的比特数计算：每增加一个比特，攻击者可能需要猜测的次数就翻一倍。
- 生成器字符集（字母、数字和 23 个符号，共 85 个字符）中的一个随机字符，增加约 6.4 比特。
- 从 7,776 个单词的词表中随机选出的一个单词（这是广泛使用的 Diceware 词表的大小，每个单词由五次掷骰子决定），增加约 12.9 比特。
所以一个随机单词大约相当于两个随机字符。一些对照如下：
| 密码短语 | 比特数 | 相近的随机密码 |
|---|---|---|
| 4 个单词（7,776 词词表） | 约 52 | 8 个字符（约 51 比特） |
| 5 个单词 | 约 65 | 10 个字符（约 64 比特） |
| 6 个单词 | 约 78 | 12 个字符（约 77 比特） |
| 8 个单词 | 约 103 | 16 个字符（约 103 比特） |
这些计算只在每个单词都是从整个词表中随机选取时才成立。如果你自己挑单词，你会挑出常见、相关的词，而攻击者的工具恰恰会先尝试这些组合。词表较小也意味着比特数较少：如果只有 2,000 个单词，每个单词只增加约 11 比特。
想了解这些比特数对应的破解时间，请参阅破解一个密码需要多久。
密码的优势场景
- 密码管理器内。 你永远不需要输入或记住它们，所以要把它们做得很长并且完全随机。同时使用四类字符的 20 个字符，约有 128 比特，远超过你愿意手动输入的任何密码短语。
- 有短长度限制的网站。 一些老网站把密码限制在 16 或 20 个字符。随机字符能用更少的长度容纳更多的强度。
- API 密钥、服务账号和共享机密。 机器不在乎能否记住。
密码短语的优势场景
- 密码管理器的主密码。 这是你必须记住的一个密码，它保护着其他所有内容。六到七个随机单词是理想的目标。
- 电脑或手机的登录， 如果你在那里使用的是密码而不是 PIN 或指纹。
- 需要在不方便的键盘上输入的内容： 智能电视、游戏主机，以及访客需要手动输入的 Wi-Fi 密码。
- 需要朗读出来的内容， 通过电话时，
quartz-lemon-harbor比q7#Vd!m2更容易听清。
根据 NIST SP 800-63B（第 4 版，2025 年），长密码和密码短语是受欢迎的，网站应允许使用空格，并且至少支持 64 个字符，同时不应强制要求复杂度规则或定期更换。有些网站仍然要求同时包含大写字母、数字和符号。你可以把它们固定加在一个可预测的位置，比如 Walnut-ferry-tidal-oxygen-clamp-violin-7。这并不会增加多少强度，但能满足规则，同时不削弱那些随机单词。
如何生成各自的密码
随机密码： 打开免费密码生成器，设置长度（默认为 20，范围从 8 到 128），保持小写、大写、数字和符号都勾选，点击生成，然后点击复制。它在你的设备上生成，从不会发送到任何地方。
随机密码短语： 密码生成器只生成字符密码，不会挑选单词。以下两种方法可以得到随机密码短语：
- 骰子。 使用一份公开的 Diceware 词表，每个单词掷五次骰子。每次掷骰的结果从 7,776 个单词中选出一个。这种方法较慢，但完全离线。
- 我们的随机选择器。 打开免费随机数生成器，选择从列表中选择，粘贴一份很长的词表（每行一个单词，越长越好），将选取数量设为 6，然后点击选取。它使用浏览器的安全随机源，并且不会上传任何内容。用连字符或空格把这些单词连接起来。
无论你选哪种方法，都不要把结果改得"更好看"。把一个随机单词换成你喜欢的单词，是强度悄悄流失的方式。
常见误区
"密码短语因为更长，所以总是更强。" 字母的长度并不重要，重要的是随机选择的数量。correcthorsebattery 有 19 个字母，但只有 3 个随机单词，从 7,776 词的词表来看约 39 比特，比一个随机的 8 字符密码还弱。
"把字母换成符号就很强。" P@ssw0rd 是任何破解工具最先尝试的猜测之一。a→@、o→0 这类替换是众所周知的。
"先对密码做哈希，让它变得随机。" 对一个弱密码做哈希会得到一长串字符，但攻击者只要猜中你的方法，就能对同样的猜测做哈希。免费哈希生成器用于校验和，不是用来生成密码的。
要了解完整的做法，包括每类账户的密码应该多长，请阅读如何创建强密码。
现在就生成一个
对于密码管理器管理的每一个账户，随机的 16-20 个字符密码是最强、最简单的选择。用免费密码生成器生成一个，直接复制到你的管理器中，而把密码短语留给少数需要自己手动输入的内容。
常见问题
- 密码短语比密码更安全吗？
- 不一定。六个随机单词和 12 个随机字符的强度大致相当。随机密码短语更容易记住；随机密码在达到相同强度时则更短。
- 密码短语应该有几个单词？
- 对于重要内容，例如密码管理器的主密码，应使用六个或更多随机单词，并且来自一份大词表。四个单词的强度仅相当于一个随机的 8 字符密码。
- 我能用一句话或一段歌词作为密码短语吗？
- 比短密码好，但好得有限。著名的短语和歌词都在攻击者的列表里。由骰子或软件挑选的随机单词要强得多。
- EveryApp 的生成器能生成密码短语吗？
- 不能，它生成的是 8 到 128 个字符的随机字符密码。要组成密码短语，可以用 Diceware 词表掷骰子，或者使用随机数生成器的"从列表中选择"功能，配合一份很长的词表。
- 密码短语应该包含空格吗？
- 只要网站允许，空格就没问题。连字符是安全的选择，因为几乎所有网站都接受它。
生成器
试试密码生成器
免费，无需注册，直接在浏览器中使用。 一键生成强随机密码：选择 8 到 128 个字符的长度，以及要使用的小写字母、大写字母、数字和符号，然后复制即可。