给服务器用户定个密码规矩

我是小够。都在讲密钥登录，但现实是：密码还没死。sudo 密码、MySQL root 密码、面板登录密码、商家后台密码——一台 VPS 上密码到处都是。今天不讲大道理，讲规矩：给服务器上的密码定三条规矩。

规矩一：密码全部由密码管理器生成

人脑想出来的密码，强度都不够。Vps2025! 这种"自以为复杂"的密码，在字典面前不堪一击。正确做法：Bitwarden、KeePass 这类密码管理器，生成 20 位以上随机密码，你负责记住主密码就行。主密码是唯一需要人脑记的密码，其他的都交给工具。

规矩二：一个服务一个密码

数据库密码、面板密码、sudo 密码，全部不一样。原因很简单：任何一个服务泄露（比如面板有个漏洞），撞库不会蔓延到其他服务。密码管理器让"每个都不一样"零成本，别再全站通用一个密码了。

规矩三：重要密码定期换

sudo 用户密码、数据库密码，建议半年到一年换一次。换的时候：

1. 密码管理器生成新的，先在测试环境或非高峰验证；
2. 更新所有引用它的地方（配置文件、脚本、面板设置），别漏；
3. 确认服务正常后，旧密码作废。

配合前面讲的密钥轮换，一年做一次"凭证大扫除"，形成习惯。

sudo 密码和密钥的关系

开了密钥登录 SSH，sudo 密码还有用吗？有用：它是本地提权的第二道锁。建议：密钥本身设 passphrase（等于密钥自带密码），sudo 保留密码（不要 NOPASSWD，除非你清楚风险）。这样攻击者要过两关：先拿到你的私钥文件，再知道 passphrase 或 sudo 密码。

千万别做的事

• 密码写进代码、写进笔记软件明文、截图发微信——任何明文流转都是雷。
• 用生日、手机号、域名当密码——社会工程学第一课就是猜这些。
• 多人共用一个密码——离职交接时想想有多痛苦。

小够的总结：密码策略的本质是"降低单点失守的 blast radius（爆炸半径）"。一个密码丢了，只影响一个服务；主密码丢了，才是灾难。所以：主密码用脑记 + 开 2FA，其他密码全随机、互不相同。规矩定下来，执行比强度更重要。