一、变化的事实：账号数量压倒了记忆力

先说一个具体的变化。按近年的统计：

• 一个普通人的个人账号数量在一百个上下，2024 年前后达到过一个高点（约 168 个），2026 年首次出现下降（约 120 个）；
• 工作相关的账号数量也在几十个的量级。

这个数字已经远远超过人能可靠记住的范围。这是一切变化的起点。当一个人管着几十上百个账号时，他只有两条路可走：

1. 复用——同一个口令（或变体）用在多个地方。这条路的代价已经在 针对密码的攻击 讲过：一旦某处泄露，等于处处泄露。而且调查里有一个很刺眼的数据——大量在职技术人员承认自己在复用口令。
2. 记在别处（便签、表格、浏览器记忆）——这条路把口令从脑子里搬到了一个更脆弱的容器里。

所以这一节要讲的两个工具，本质是在回答同一个问题：在"记不住"这个前提下，怎么还能做到"每个站点一个不重复的口令"。

二、单点登录：一次认证，多处通行

单点登录（SSO） 的做法是：把认证这件事交给一个统一的身份提供方，其他系统不再各自管一套账号口令，而是信任那个统一的认证结果。

它的价值非常具体，至少有四条：

其中第二条是最容易被低估的一条。没有单点登录时，员工离职意味着要去十几个系统里逐个停账号——只要有一个人漏了，那个入口就一直在（Demo 里那个"前员工还留着报销系统和 VPN"的例子就是这么来的）。

但单点登录不是白拿的，它也带来两个新问题：

问题一：单点失效。那一个账号一旦被攻破，攻击者能一次拿到所有接入的系统——"通行范围"变成了攻击者的收益。所以 SSO 账号必须配上最强的那一档保护（抗钓鱼的多因子）。

问题二：风险集中。把认证集中，也把攻击目标集中了。近年来的实际案例里，身份提供方本身成了被攻击的目标——因为攻破一个，可能影响成千上万个组织。

结论：SSO 本身不是安全措施，它只是把"分散的弱认证"换成了"集中的强认证"。做得好是升级，做得不好是把所有鸡蛋放进一个篮子。

三、口令管理工具：把"记不住"交给机器

口令管理工具解决的是另一半问题。它的核心功能就三条：

1. 生成：按要求生成足够长、足够随机的口令
2. 存储：加密保管在一个"保险箱"里
3. 填充：在登录时自动填入（人不必看到、也不必记住）

于是使用者的负担被压缩成了一件事：记住保险箱本身的那一个主口令。

这就带来了一个质的变化：

从"记住很多个口令"变成"记住一个非常强的口令"——这是唯一能让人真正做到"每个站点一个不重复口令"的现实路径。

挑选和使用时可以留意四点：

• 主口令要足够长且唯一——它是所有东西的总钥匙，绝不能与其他任何账号共用。
• 本地保管 vs 云端同步：云端同步换来多设备便利，代价是"云上那一份"成为被攻击目标；本地保管更稳，但丢设备就等于丢全部（所以必须有可靠的备份与恢复方案）。
• 浏览器自带 vs 独立工具：够用就行，关键是用它，而不是在浏览器、表格、便签之间分散着存。
• 它的"零知识"设计：主流工具的设计是服务端拿不到你的主口令（本地解密）。但"设计如此"不等于"实现无懈可击"——这类服务本身也出过数据泄露事件，所以在选择时要看它的成熟度和历史。

四、两者的关系：互补，不是替代

很多人以为"上了单点登录就不需要口令管理工具了"。实际上：

• 现在企业里，仍有相当比例的业务系统没有接入单点登录（统计口径下大概三到六成的应用不在 SSO 覆盖范围内）。
• 那些没接入的系统，仍然需要有人保管它的口令。

所以成熟的做法是两层一起用：

判据很简单：凡是"人需要自己记住的口令"，都应该尽快从"人"转移到"工具"或"统一认证"里去。

五、动手 Demo：登录方式体检

下面这个 Demo 体检 12 个账号，统计三类问题，再排出修复优先级。

# 优先级 = 价值 ×（是否复用加一倍）×（是否无多因子加一倍）
p = val * (2 if reuse else 1) * (2 if not mfa else 1)

实跑输出：

================================================================================================
一、逐个账号体检
================================================================================================
  账号              单点登录  口令长度  复用      多因子  价值
  --------------------------------------------------------------------------------------------
  公司邮箱          是        12        —         —       ★★★★★
  财务系统          —         8         —         ⚠️ 无  ★★★★★
  代码仓库          是        12        —         —       ★★★★★
  电商后台          —         6         ⚠️ 是    ⚠️ 无  ★★★★
  办公协作工具      是        12        —         —       ★★★
  云服务器控制台    —         10        ⚠️ 是    ⚠️ 无  ★★★★★
  客户关系系统      —         9         ⚠️ 是    ⚠️ 无  ★★★★
  社保公积金网站    —         8         ⚠️ 是    ⚠️ 无  ★★★
  网购账号          —         7         ⚠️ 是    ⚠️ 无  ★★★
  健身房 App        —         6         ⚠️ 是    ⚠️ 无  ★
  论坛账号          —         6         ⚠️ 是    ⚠️ 无  ★
  门禁考勤后台      —         8         ⚠️ 是    ⚠️ 无  ★★★★

================================================================================================
二、体检结果
================================================================================================
  口令不足 15 个字符（当前建议下限）：12 / 12 个
  与其他账号复用同一口令：          8 / 12 个
  没有开多因子认证：                9 / 12 个

  其中【复用 ＋ 无多因子】的重灾区：
    · 电商后台          价值 ★★★★     口令 6 位
    · 云服务器控制台    价值 ★★★★★    口令 10 位
    · 客户关系系统      价值 ★★★★     口令 9 位
    · 社保公积金网站    价值 ★★★      口令 8 位
    · 网购账号          价值 ★★★      口令 7 位
    · 健身房 App        价值 ★        口令 6 位
    · 论坛账号          价值 ★        口令 6 位
    · 门禁考勤后台      价值 ★★★★     口令 8 位

================================================================================================
三、修复优先级（先动分最高的）
================================================================================================
  优先级  20  云服务器控制台    开多因子 / 换独有口令 / 并入单点登录
  优先级  16  电商后台          开多因子 / 换独有口令 / 并入单点登录
  优先级  16  客户关系系统      开多因子 / 换独有口令 / 并入单点登录
  优先级  16  门禁考勤后台      开多因子 / 换独有口令 / 并入单点登录
  优先级  12  社保公积金网站    开多因子 / 换独有口令 / 并入单点登录
  优先级  12  网购账号          开多因子 / 换独有口令 / 并入单点登录

  ④ 单点登录最大的好处不是省打字，是【一处关掉，处处失效】：
     员工离职时，你只需要停掉那一个账号，不用去 12 个系统里挨个删。
     但它也把风险集中了——那一个账号必须配上最难钓的多因子。

  ⑤ 口令管理工具解决的是另一件事：让人不需要记住。
     2026 年一个普通人平均要管 120 个口令，靠脑子记的数字是零。
     用工具之后，唯一的负担是记住工具本身的那一个长口令——
     那一个，值得写成一句好记的话。

读这个输出：两个地方值得看清。

第一，排在第一的不是"最弱的"，而是"最贵的"——云服务器控制台（价值 ★★★★★，且复用、无多因子）排 20 分居首。这就是"优先级"的含义：不是先修最好修的，而是先修"修了收益最大"的。

第二，看最上面三行的对比：公司邮箱、代码仓库、办公协作工具都接了单点登录，而且长度够（12 位——虽然还没到 15 位的建议线，但已经有工具托管）。它们代表的是"已经做对的那一类"；下面那一堆"复用 + 无多因子"的，代表"还没开始管的"。这两组的差距，就是口令使用环境变化的实际图景。

六、⚠️ 2026 现状

• 口令数量第一次出现下降。常年上升的个人口令数量在 2026 年首次回落（从约 168 降到约 120），主要原因有两个：用大平台的账号做统一登录（用 Google、Apple 之类的账号授权登录其他服务），以及通行密钥的铺开。注意这不是"口令不重要了"，而是"口令被挪走了"——风险转移到了那个作为"总钥匙"的账号上。
• 口令管理工具正在变成"凭据管理器"。通行密钥通常存在与口令同一个保险箱里（系统的钥匙串、浏览器或第三方工具），也就是说，口令管理工具的定位从"管口令"扩展为"管所有凭据"——口令和通行密钥在一起管，是这个阶段很明确的趋势。
• 单点登录的覆盖率并不是满的。统计显示仍有相当比例的业务应用（大概三成到六成不等，视口径）没有接入统一认证。这意味着"口令管理工具"在可见的将来仍然必要——不能因为上了 SSO 就假设所有口令都不用人管了。
• "SSO + 无多因子"是最危险的组合。近年影响最大的几起身份类事件，走的都是同一条路：一个统一登录账号被攻破 → 顺着它拿到邮件、CRM、文件、甚至 ERP。也就是说，单点登录把风险集中了，就必须用最强的认证守住那个集中的点——而统计显示，仍有大量组织的员工主登录方式还是"口令"。

30 秒实验

做一次"口令体检"，五分钟能完成：

1. 找出你的"总钥匙"账号：哪一个账号是你用来登录其他服务的（邮箱、平台账号）？它是你所有账号里最该被保护的那一个。
2. 看它现在保护得怎么样：长度够不够（15 位以上）、有没有开多因子、有没有和其他账号共用。
3. 换一个思路整理剩下的：剩下那些"接不进统一登录"的账号，有没有都放进一个口令管理工具里？如果没有，先从最重要的三个开始搬（邮箱、支付、云盘）。

做完你会发现，真正的改善不在于"每个口令都改强"，而在于把"需要记住的"从几十个压缩到一两个。

常见误区

1. 错误：有了单点登录，口令管理工具就没用了。——纠正：总有一部分系统接不进统一认证（统计口径下大概三到六成）。那些系统的口令仍然需要有人保管，工具仍然必要。两者是互补的两层，不是替代关系。

2. 错误：单点登录一定更安全。——纠正：它是把分散的弱认证换成集中的强认证——做得好是升级，做得不好是把风险集中在一个点上。近年最严重的身份类事件，走的正是"一个统一账号被攻破，顺着它全线失守"这条路。

3. 错误：口令交给工具了，主口令随便设一个就行。——纠正：主口令是所有账号的总钥匙，它是整套方案里最不能妥协的一环。它必须足够长、绝不能与其他任何账号共用，也不应该存在"找回密保问题"这种可被社工的路径上。

4. 错误：用浏览器记住口令就等于用了口令管理工具。——纠正：浏览器记忆解决了"记不住"，但常常缺少跨设备的统一管理、缺少泄露检测、缺少分类和分享控制，而且换了浏览器或设备就丢。它比便签好，但通常达不到正式工具的管理能力。

• ☐ 下一节（1-13 利用个人身体信息）

相关笔记

• 针对密码的攻击 —— 上一篇：为什么"不复用"比"设得复杂"更重要
• 利用个人身体信息 —— 下一篇：把认证载体从"知道的/拥有的"换成"你本身"
• 使用一次性密码安全性更高 —— 那个"总账号"该配什么因子
• 🛡️ 网络与信息安全 · 索引 —— 全课路线图