我上周把某个论坛的用户账号密码找回来了。过程不复杂，名密码就是用户点“忘记密码”，收邮件，名密码重置。用户但登录进去那一刻，名密码看到自己2013年设置的用户密码，愣了几秒——那是名密码我前女友的生日加名字缩写。分手都八年了，用户这串字符还躺在数据库里，名密码像一块没清理干净的用户旧疤。

用户名和密码，名密码大概是用户数字生活里最拧巴的一对组合。前者是名密码你想让人看见的标签，后者是用户你拼命想藏起来的钥匙。可大多数人对待它们的态度，跟对待家里备用钥匙差不多——塞在门口脚垫下面，还觉得自己挺聪明。

我有个朋友，所有平台的密码都是同一个。问他为什么，他说“好记”。去年他的某个购物账号被撞库，邮箱里突然多出十几封订单确认信，全是游戏点卡。他慌慌张张改密码，改完发现新密码还是那个，只是末尾加了个“1”。我问他这跟没改有什么区别，他说“心理上区别很大”。

这事不能全怪用户懒。网站的设计也在推波助澜。有的要求必须含大写字母和特殊符号，有的限制不能超过12位，还有的每隔三个月强制你换一次。结果就是所有人都在“Password123!”和“Password123@”之间来回切换，换到最后自己都记不住，只能再点一次“忘记密码”。

真正让我觉得荒诞的，是那些“安全问题”。我设过“你最喜欢的老师是谁”，答案填的是“不知道”。因为那老师姓什名谁我早忘了，但系统不让我填“不知道”，说答案太短。后来我学乖了，所有安全问题的答案都填同一个随机字符串，存在备忘录里。安全问题的本质，是把密码换了个问法再问一遍，还问得更蠢。

前阵子帮亲戚处理一个账号被盗的事。对方客服问了一堆验证信息，最后问“您能提供一下最近三次的登录地点吗”。亲戚翻遍手机也找不到，因为登录地点那一栏他从来没点开看过。我们总在丢东西之后才想起来，原来还有“登录记录”这个功能。

密码这东西，说到底是个信任问题。你信任平台不会明文存你的密码，信任网络传输不会被截获，信任自己不会在钓鱼页面手滑。可每一环都可能出问题。我见过一个网站，登录页面的URL里直接带着用户名和密码参数，明晃晃的，像把家门钥匙插在锁上还贴了张纸条写“欢迎光临”。

现在我开始用密码管理器了。一个主密码，其余全交给软件生成。主密码是一句歌词，只有我知道是哪首歌的哪一句。偶尔在某个深夜，输密码的时候会想起那首歌的旋律，然后意识到——原来记住密码这件事，最后记住的往往不是密码本身，而是设置它那一刻的某个片段。前女友的生日，大学宿舍的门牌号，第一份工作的工位编号。它们被加密成星号，藏在登录框后面，等着某天被“忘记密码”重新翻出来。

但大多数时候，它们就安安静静地待在那里。像一把把没人再用的旧钥匙，挂在数字生活的腰间，走起路来叮当作响，你却很少低头去看。