我翻了三百多个泄露的用户密码库，发现人类在设置密码这件事上，名密码简直是用户一场大型行为艺术展。

最震撼的名密码发现是：每十个被破解的账号里，就有三个密码是用户“123456”或“password”。别笑，名密码这数据来自2023年某安全公司的用户年度报告。更离谱的名密码是，有人把“password”拼错了，用户写成“passw0rd”——以为加个零就固若金汤了。名密码兄弟，用户黑客字典里专门收录了这种变体，名密码你的用户小聪明在暴力破解面前连三秒都撑不过。

有个真实案例让我印象特别深。名密码某公司财务总监，用户用“Sunshine2020!”当密码——大小写、数字、符号全齐了，看起来挺专业对吧？结果他女儿的名字叫Sunshine，生日是2020年，社交平台上全是全家福。安全人员花十分钟就破解了。这密码不是用来防黑客的，是写给女儿的情书。

普通人的密码逻辑往往简单得可爱。用宠物名的占三成，用生日的占两成，用“iloveyou”系列的占一成。剩下那四成里，一半是键盘上的连续键位，比如“qwerty”或者“zxcvbn”——敲起来手指特别顺滑，破解起来也特别顺滑。

程序员群体稍微讲究点，但也好不到哪去。我见过一个老哥，所有账号密码都是“CorrectHorseBatteryStaple”的变体——这源自著名xkcd漫画的密码建议。讽刺的是，这密码本身够强，但他把变体规则写在了GitHub私有仓库里，还设了弱密码保护。人呐，总是高估自己的记忆力，低估黑客的耐心。

最让人哭笑不得的是那些“密码洁癖”患者。我认识一位姐姐，每三个月强制换一次密码，每次都是全新组合，长度十六位起步，大小写、特殊符号、emoji全上阵。结果呢？她平均每个月要重置五次密码，因为自己也记不住。最后干脆在手机备忘录里建了个加密笔记，专门存密码——而那个笔记的密码，是“woaini1314”。

安全专家总教育我们要用密码管理器，随机生成一串乱码，终身不用记。道理我都懂，可每次看到那串“v$9#kL2@pQ!zR7”就头皮发麻。人类对可读性的执念远超想象，哪怕知道不安全，也宁愿用“mynameisTom1998”这种能讲出故事的密码。

有个统计很有意思：在中文互联网用户中，密码里带“woaini”的比例高达百分之四点七。这数字背后藏着多少痴男怨女啊。还有人用前女友名字加分手年份当密码，被破解后账号被盗，盗号者还给他留了言：“兄弟，都过去三年了，换个新密码吧。”

说到底，密码是人性的一面镜子。懒的人用懒密码，痴的人用痴密码，强迫症的人用强迫症密码。黑客根本不关心你的故事，他们只关心你的密码在不在彩虹表里。而现实是，绝大多数人的密码，早就在那张表上了。

所以下次设置密码时，别想着什么“安全与记忆的平衡”这种伪命题。要么干脆认命，用个笨办法——找一句只有你自己知道的诗，取每个字的首字母，再掺点只有你懂的符号。比如“床前明月光”变成“Cq@myg2024”，至少比“woaini1314”强那么一丢丢。

当然，你要是真在乎安全，就老老实实用密码管理器。但我知道，你大概率不会——因为人性这东西，比任何加密算法都难破解。