密码生成器多少位够用：按字符集与熵值算，附长度对照表和四类账号下限

密码管理约 1917 字 · 阅读约 5 分钟

「密码生成器多少位够用」看起来是个数字问题，实际上要拆成三个变量：你要防的是谁、这个账号丢了会连带损失什么、网站允许你填多长。同一个 16 位随机串，用在论坛和用在主邮箱，价值完全不同。

所以本文不给一个万能数字，而是给一张按账号类型查的下限表，外加一条多数教程没讲的事：位数只解决「猜」，解决不了「拿到」。生成之后的处置动作，比位数更影响结果。

一、先算一眼：位数到底换来多少空间

随机密码的强度用熵衡量，公式很简单：熵 ≈ 长度 × log₂（字符集大小）。字母大小写加数字是 62 个字符，每位约 5.95 bit；再算上常见符号（约 94 个），每位约 6.55 bit。

长度（62 字符集）	熵值	面对离线爆破的直观含义	够用在哪
8 位	约 48 bit	GPU 集群下是分钟级	哪都不够，已过时
12 位	约 71 bit	需要相当算力才可能命中	低频、无支付的小论坛
16 位	约 95 bit	实际不可穷举	绝大多数普通账号的默认值
20 位	约 119 bit	远超任何现实攻击	邮箱、主账号、云盘
24 位以上	140 bit 以上	意义上已饱和	加密容器、恢复密钥、API token

能看出规律：从 12 到 16 位只是「更难」，从 8 到 12 是「从不行到行」的质变。真正该记的不是某个绝对值，而是够用即停——超过 20 位，收益已经不在猜测难度上，而在别的地方。

不用给每个网站单独设计，分成四档即可。判断标准只有两条：这个账号能不能重置别的账号（邮箱、手机号类），它背后有没有钱或不可再生数据（支付、云盘、密码库）。

至于「每个网站能不能都用同一个 20 位串」——绝对不行。位数再高，一旦某个站被拖库，撞库脚本会拿它去试所有站。生成的本质意义是一账号一串，长度只是附带收益。

这是多数「多少位够用」的文章漏掉的部分：泄露很少来自「被猜中」，更多来自过程中的人为环节。

最后一行值得多说一句：你无法控制对方怎么存。所以真正的策略是假设每个站都会泄露，让每次泄露只影响那一个账号。这也是为什么「强密码」和「不复用」必须同时成立。

不少老站点只收 12 位、禁用符号，甚至对特殊字符做截断。遇到这类情况，按下面的优先级处理，别硬凑：

位数由你决定，随机性由工具决定。选在线生成器或管理器内置生成器时，花一分钟核对这五项：

在线工具只适合「临时要一个」，长期方案还是放进密码管理器统一生成与填充，选择标准见密码管理器哪个好用。

不够。纯数字每位只有约 3.3 bit，16 位约 53 bit，大致相当于 9 位混合字符。位数看着多，实际强度被字符集拖下来。除非对方强制只用数字（例如某些 PIN），否则优先混合字符。

不能这么换。符号把每位熵从 5.95 提到 6.55，加两位长度带来的提升更大。长度和字符集不是等价兑换，长度优先级始终更高。

不行。同站复用同样会在一处泄露后连带另一个账号，而且很多站在「密码与历史重复」时会拒绝。管理多账号见一个邮箱注册多少网站算多。

没有泄露迹象就不用定期换。该换的信号是：站点被拖库、你在别处见过同一个密码、设备可能被入侵。判断标准见密码多久换一次。

密码生成器多少位够用，答案可以压缩成一句：普通账号 16 位、身份枢纽 20 位、资产类 20~24 位、主密码改用长短语。位数决定「猜不猜得中」，一账号一串决定「丢一个会不会全丢」，而生成之后的复制、截图、填错站，才是现实中更常见的破口。

如果连「哪串对应哪个站」都已经记不清，说明该上密码库了，可先看强密码怎么设置理解熵，再按密码管理分类逐篇落地。