去年帮朋友恢复一批老照片，破解对方发来个加密ZIP，破解密码是破解他前女友生日。他试了半小时没辙，破解我拿Hashcat跑了个掩码攻击，破解8位纯数字，破解三分钟出结果。破解他盯着屏幕愣了半天，破解说了句“早知道这么容易”。破解这事让我意识到，破解多数人对“在线破解ZIP”的破解认知要么停留在电影里那种狂敲键盘的画面，要么觉得这是破解黑客专属技能，跟自己没啥关系。破解

先说清楚一个前提：在线破解ZIP，破解本质上不是破解“猜”密码，而是“试”密码。密码空间有多大，决定了你要试多少次。一个6位纯数字密码，100万种组合；换成6位大小写字母加数字，直接飙到568亿种。这中间的差距，就是“几秒钟”和“跑到下辈子”的区别。

那在线破解网站是怎么干的？它们背后通常挂着几台甚至几十台服务器，用分布式计算分摊任务。你上传ZIP文件，网站把密码空间切成若干块，每台机器负责一块，同时暴力枚举。听起来挺唬人，但实际体验往往很骨感——免费用户排队长，速度慢，有些站点还会限制文件大小和尝试次数。我试过几个比较知名的在线破解平台，上传一个500MB的加密包，光上传就花了十几分钟，排队等了快一小时，最后告诉我“字典未命中”。

字典攻击比纯暴力更实际。所谓字典，就是预先整理好的常见密码列表。RockYou泄露的密码库、各种生日姓名组合、键盘滑行模式（比如qwerty、1qaz2wsx），这些都在字典里。很多人设密码有个习惯：用自己名字拼音加出生年份。这种密码在字典攻击面前基本等于没设。我见过一个案例，某公司财务把工资表ZIP密码设成“caiwu2023”，破解工具跑了不到两秒就出来了。

但别高兴太早。如果密码里带特殊符号、长度超过10位、又不是常见词汇组合，在线破解基本可以放弃。去年有个客户拿来个ZIP，密码是他随手敲的16位随机字符，我直接建议他找原始创建者要密码，别浪费时间。算力再强，也架不住密码空间指数级膨胀。

还有个容易被忽略的点：ZIP加密算法本身有区别。老式的ZipCrypto加密很弱，有已知明文攻击的方法，甚至不需要知道密码就能解出部分内容。但AES-256加密的ZIP文件，暴力破解就是硬碰硬，没有捷径。很多在线工具不区分这两种，你上传AES加密的包，它照样用字典跑，跑不出来还让你升级付费，纯属浪费表情。

法律边界也得提一句。破解自己的文件，没问题。破解别人的，哪怕你理由是“我忘了密码”，只要文件不属于你，就可能踩线。在线平台通常会在用户协议里把责任推得一干二净，真出了事，背锅的是你。

我的建议很直接：重要文件别只靠密码保护，用7z的AES-256加密，密码设长一点，记在密码管理器里。真忘了密码，先想想有没有备份或者原始创建者能联系。实在要在线破解，拿个小文件先试水，别把几个G的包往上扔。至于那些宣称“百分百破解”的网站，大部分是钓鱼或者骗充值，别当真。