我上周把家里那台旧路由器重置了。用户恢复出厂设置，名和密码所有配置清空，用户包括宽带拨号的名和密码用户名和密码。结果我盯着那个登录界面愣了十分钟——账号是用户什么来着？密码又是什么来着？

这种事不是第一次了。我们每天都在跟用户名和密码打交道，名和密码但真正能记住的用户没几个。手机解锁靠指纹，名和密码支付靠面容，用户邮箱和微信常年挂着不退出。名和密码等到某天突然要你手动输入，用户脑子就空了。名和密码我有个朋友更绝，用户他把所有密码都存手机备忘录里，名和密码结果手机丢了，用户他花了整整两天才把主要账号找回来。那两天他像个无头苍蝇，连公司门禁都进不去。

用户名和密码这套东西，本质上是个信任机制。服务器不认识你这个人，它只认那串字符。你输入对了，它就认为你是你。听起来简单，但漏洞全在“人”这一环。我见过有人用生日当密码，六个数字，银行卡也是这个。还有人所有平台同一个密码，微博、邮箱、网银，全一样。问他为什么，他说好记。是挺好记的，黑客也好记。撞库攻击就是专门对付这种人的——一个网站泄露了，拿着邮箱和密码去试另一个网站，成功率不低。

我自己也犯过蠢。早年注册某个论坛，用户名用了真名拼音，密码设成“123456”。后来那个论坛被拖库，我的邮箱里突然多了一堆垃圾邮件，还有人冒充我发帖。改密码的时候我才发现，那个“123456”我用了至少五年。五年里所有需要注册的地方，全是这一套。现在想想后背发凉。

那怎么弄？我现在的做法是分三档。最核心的，比如网银和主邮箱，密码单独设，十六位以上，大小写加符号，绝不重复。次一级的，比如购物网站和社交平台，用另一套密码，稍微短一点但也不重样。最不重要的，比如临时注册看个资料那种，随便设，用完就忘，反正也不填真实信息。用户名也一样，能不用真名就不用，能不用手机号就不用。有些网站强制要手机号，那就填，但密码必须跟别的区分开。

记不住怎么办？我用密码管理器。不是打广告，这东西确实省心。主密码设一个特别复杂的，背下来，剩下的全交给它生成和保存。有人担心管理器被黑，那当然有可能，但比你在十个网站用同一个密码安全得多。我主密码写在一张纸上，锁在抽屉里。物理隔离，老派但管用。

还有个习惯我坚持了好几年：每个季度改一次核心密码。改的时候不微调，不把“abc123”改成“abc124”，直接换全新的。麻烦是麻烦，但每次改完都有种把门锁换了的感觉。踏实。

说到底，用户名和密码是我们在数字世界里的钥匙。钥匙丢了能配，被人复制了就麻烦了。别嫌麻烦，该设复杂就设复杂，该分开就分开。你永远不知道下一个被拖库的网站是哪个。等出事再改，那就不是麻烦，是灾难了。