网站改密码后旧密码还能用吗：会话、令牌与缓存的真相
改完密码，页面弹出「修改成功」，很多人到这一步就放心了。但现实中「改了密码对方还能进」的情况并不少见——那不是网站出了 bug，而是改密码只作废了「用密码登录」这一条路，其他已经建立的通路并没有自动关闭。
所以真正要回答的问题不是「旧密码还能不能用」，而是旧密码背后那串凭证还有哪些活着。搞清楚这一点，才知道自己该点哪几个按钮。
一、改了密码，哪些东西还会继续可用
登录状态不是只有密码一种，下面六条通路里，多数不会因为改密码而自动失效。
| 通路 | 为什么改密码后仍然有效 | 失效条件 |
|---|---|---|
| 已登录的会话 Cookie | 会话令牌存在服务端，改密码不一定清理 | 平台主动「退出所有设备」或令牌到期 |
| 「记住我」长期令牌 | 独立于密码，专为免登录设计 | 手动撤销该设备的信任 |
| 应用专用密码 | 为邮件客户端、同步工具单独生成，不随主密码变化 | 逐条撤销 |
| API 令牌与第三方授权 | 授权关系记在对方应用，不在你的密码里 | 在授权管理里解除 |
| 恢复码与备用验证 | 设计目标就是「忘了密码也能进」 | 重新生成一批，旧的作废 |
| 同密码的其他站点 | 那些站点的密码你并没改 | 逐个改掉，或改成唯一密码 |
结论：旧密码本身在服务端确实失效了，但它换来的那些令牌、授权、恢复码可能全都还在。这就是为什么安全事件的标准动作是「改密码 + 撤销会话 + 解除授权」三件一起做，而不是只改密码。
二、让旧密码彻底作废的三步
- 改密码，并确认新密码唯一。如果新密码和别的站点相同，等于把风险平移了一次。
- 撤销全部会话。找「退出所有设备」「登录设备管理」「安全活动」这类入口，把不认识的设备全部移除，再手动退出一次自己的其他设备。
- 清理派生凭证。删掉应用专用密码、API 令牌、第三方授权，重新生成恢复码。这一步最常被漏掉，也最容易被利用。
三步做完，用旧密码尝试登录一次，应该得到「密码错误」；如果还能进，说明平台没做密码变更后的会话失效，这本身就是个值得警惕的信号，建议把该账号的第二因素开到最严，并把情况反馈给平台。
三、三十秒自测：旧密码还有没有效
不用等出事再猜，按下面顺序测一遍就够了。
- 用无痕窗口试旧密码。无痕没有历史 Cookie，能排除「已登录所以看起来没退出」的假象。
- 换一台设备试。本机可能还留着令牌，换设备测才准。
- 看登录记录的时间。改密码之后是否还有新的登录记录，有就说明某条通路还活着。
- 检查授权列表。陌生应用还在列表里，等于还有一把钥匙。
这四项里任何一项异常，都回到上一步重新做撤销。测试的目的不是确认「安全了」，而是找出遗漏的那条通路。
四、不同类型账号的差异很大
| 账号类型 | 改密码后旧会话 | 要额外做什么 |
|---|---|---|
| 普通论坛、购物站 | 多数保留，直到过期 | 找「退出所有设备」，没有就等令牌过期 |
| 邮箱 | 部分立刻失效，部分保留数天 | 必须查转发规则、过滤器、恢复邮箱是否被改 |
| 金融、支付 | 通常立刻失效，且要求重新验证设备 | 核对交易记录与绑定的设备 |
| 企业账号 / 单点登录 | 由身份提供方决定，可能跨所有应用 | 让管理员强制注销会话，自己操作往往不彻底 |
企业账号最容易被误解：改的是公司目录里的密码，实际生效范围由管理员策略决定。自己改完看着「成功」，其他接入的应用可能还挂着旧令牌。这类情况直接找 IT 强制下线，比自己折腾快。
五、四种常见误判
1. 浏览器自动填充填的是旧密码。填充来自本地保存的记录，不是服务器返回的。看到输入框里有旧密码就以为「旧密码还能用」，其实只是本地缓存，更新方式见密码自动填充不生效怎么办。
2. 页面没刷新，看起来还登录着。前台页面缓存着旧状态，刷新或点进二级页面就会跳登录。判断依据是能不能完成一个需要鉴权的操作，而不是页面长什么样。
3. 以为改密码等于退出所有设备。这两个功能在多数平台是分开的，甚至藏在不同的设置页里。找不到入口就在帮助中心搜「退出所有设备」。
4. 只改了主账号，忘了同密码的其他站点。这是最实际的风险：一个站泄露，撞库打到所有站。改完主账号后把复用过的密码列出来逐个换，判断标准见密码泄露了怎么办。
还有一种情况值得单独说：浏览器保存的密码和网站实际密码不同步。改完密码后浏览器弹窗问「是否更新」，点了「不更新」就会一直填旧值，下次登录失败还以为密码被改了。这类问题跟账号安全无关，纯粹是本地记录没更新，处理思路见浏览器保存密码安全吗。
常见问题
旧密码在服务器上还存着吗？
正规平台只存哈希值，改密码就是换成新哈希，旧值不再可用。但历史哈希可能留在备份里，所以「旧密码已泄露」的结论依然成立，别因为改过就重新使用它。
改完密码后对方立刻掉线，说明安全了吗？
只说明会话被清了，不代表授权和恢复方式也清了。再检查一遍第三方授权与恢复码，才算完整。
平台没有「退出所有设备」怎么办？
改为逐个移除登录设备，或直接联系客服要求强制下线。另外把第二因素打开，新设备登录必须验证，能弥补一部分缺口。
改密码后需要改绑手机号或邮箱吗？
如果怀疑对方已经动过绑定关系，就要改。判断方法是看绑定页面有没有陌生的邮箱或号码，有就先解绑再加回自己的。
小结
旧密码在改完之后通常已经不能用来登录，但由它派生出来的会话、记住我令牌、应用专用密码、API 授权与恢复码可能全部还在。完整动作是「改唯一密码 + 撤销所有会话 + 清理派生凭证」，再用无痕窗口和另一台设备各测一次。记住一条判断标准：能完成需要鉴权的操作，才算真的还登着；页面显示什么不算数。