「所有网站用同一个密码」和「每个网站记一个复杂密码」，是两个极端，前者一漏全漏，后者人脑崩溃。密码管理器给出的第三条路是：你只记一个主密码，剩下的交给软件——它替你生成、存储、自动填充那些乱七八糟的强密码。

一、它到底帮你做了什么

密码管理器本质上是个加密的密码仓库。你第一次设一个主密码（这是唯一要记的），之后每注册一个网站，它就用 随机密码生成器 搓出一个又长又随机、人类根本背不下来的密码，存进仓库，下次登录自动填上。

你再也不用「为了方便用 123456」「为了好记用生日」。每个账号都是独立的高熵密码，一个泄露不影响其他。

二、主密码是唯一短板

既然只记一个主密码，它就必须够强且唯一。不要用「主密码也随便」——它是整个仓库的钥匙。建议主密码用一句只有你懂的长短语（passphrase），比如几个不相关的词拼起来，长度优先于符号复杂度。长度越长，暴力破解成本指数级上升。

主密码绝对不要复用到别的网站。它一旦泄露，等于仓库门被撬。

三、为什么「自己生成」比「自己想」强

人想密码有惯性：喜欢用名字、日期、键盘序列（qwerty）、常见单词。这些都在破解器的字典里。机器生成的密码则完全随机——大小写、数字、符号混合，且不与任何语义挂钩。

拿不准自己想的密码够不够硬？用 密码强度检测 测一下。很多「我觉得挺复杂」的密码，一测发现几秒就能被猜出，因为模式太常见。

四、同步与跨设备

现在人有多台设备，密码仓库需要能同步。主流方案是把加密后的数据库存在云端，用主密码在本地解密——云端存的是密文，服务商自己看不到你的密码（前提是主密码够强，且他们没后门）。也有纯本地、手动同步的极客方案，适合对云不放心的人。

跨设备自动填充是体验关键：手机上点一下就登录，不用再手敲那段 20 位的乱码。

五、两步验证是它的搭档

密码管理器解决了「密码太弱/太重复」，但挡不住「主密码泄露 + 没第二道防线」。所以给管理器本身也开两步验证（2FA）。即便主密码被钓到，没有第二步验证也进不去。

这与前面写的密码安全是一脉相承的：强密码 + 不重用 + 2FA，三层叠加。

六、常见顾虑

「软件公司跑路了我的密码怎么办？」选支持导出明文/标准格式的管理器，定期备份到本地加密文件即可。「忘了主密码呢？」多数管理器不提供找回（这是为了安全），所以主密码要么记牢，要么用应急恢复码妥善保管。

「浏览器自带的密码保存不够吗？」能用，但功能弱、跨浏览器同步差、且常与浏览账号绑定。专用管理器在加密强度、跨平台、安全审计上更专业。

七、上手的最小步骤

  1. 选一个口碑稳定的管理器；2. 设一个强主密码（长短语）；3. 用 密码生成器 给重要账号逐个换成随机强密码；4. 开启 2FA；5. 导出一次加密备份。做完这五步，你的账号安全等级会跨过一个门槛。
小结：密码管理器不是负担，是把「记复杂密码」外包给加密仓库。你只守好一个强主密码 + 2FA，剩下的交给机器生成和填充。比人脑记、比通用密码、比弱密码都安全得多。