我入职第三个月，网站就撞上了一次密码危机。管理那天凌晨两点，密码公司官网后台突然登不进去，网站客服电话被打爆——客户在首页看到一行乱码，管理以为是密码黑客攻击。我顶着黑眼圈赶到机房，网站运维老张摊手说，管理负责网站的密码老员工离职时没交接密码，只留了句“密码在文档里”。网站文档是管理加密的，密码是密码他生日，但试了所有组合都不对。网站
最后是管理行政小妹提醒的：“他工位抽屉里贴着一张便利贴，写着‘别用生日’。密码”我翻遍抽屉，找到一张皱巴巴的纸条，上面是十六位随机字符，大小写混着符号，像乱按出来的。登录成功的瞬间，老张骂了句脏话：“这他妈比银行金库还难开。”我盯着屏幕想，这或许就是网站管理密码的常态——你永远不知道它被藏在哪里，又为什么被设成这样。
后来我管了三年网站，密码换过几十次。最讽刺的是，每次安全培训都强调“不要用简单密码”，但真正出事的往往不是密码太简单，而是密码太“聪明”。比如市场部小王，把密码设成“Wang@2023!”，觉得够复杂，结果他离职后新同事试了半小时就猜到——公司名首字母加年份加感叹号，这是所有同事的通用模板。再比如财务部，规定每季度强制换密码，结果大家轮流用“Q1@2024”“Q2@2024”这种序列，等于没换。
真正让我改观的是一次钓鱼邮件演练。IT部门群发了一封“领中秋福利”的假邮件，点进去要输邮箱密码。结果全公司三百人，有七成人在两分钟内输了密码。最离谱的是行政部主管，她输完密码还截图发群里问：“这个页面怎么打不开？”那一刻我突然明白，密码再复杂，也挡不住人自己把钥匙交出去。网站管理密码的本质，根本不是技术问题，而是人性问题——它跟锁门一样，锁再结实，架不住主人主动给贼开门。
现在我的做法有点反直觉：不设死密码，而是用密码管理器生成随机串，每月自动轮换。但前提是，每个员工必须绑定手机验证码，登录时双重确认。有人嫌麻烦，我直接拿那次钓鱼演练的数据怼回去：“嫌麻烦的，麻烦你那天输密码的截图还在我这儿存着呢。”效果立竿见影。说白了，网站管理密码这事儿，别指望靠个人自觉，得靠系统把“人容易犯错”这个漏洞补上。
前几天老张退休，我请他吃饭。他喝了口酒，突然说：“你知道吗，当年那个离职老员工，他便利贴上的密码，是他前女友的生日加分手年份。”我愣了一下，问为什么。老张笑笑：“他说，这密码他永远不会忘，但也永远不会告诉别人。”我端起杯子，没接话。密码这东西，有时候是防盗门，有时候是墓碑——它锁住的，可能不只是网站后台，还有一段没人想再提起的过去。