还记得那是2017年的一个深夜，我刚组装好第一台属于自己的电脑，迫不及待地下载了Steam。注册账号时，面对那个密码输入框，我随手敲下了用了多年的老密码——我的生日加上‘love’这个词。那会儿觉得，游戏平台嘛，能有多重要？结果一个月后，我收到了一封来自俄罗斯的登录验证邮件，那一刻的惊慌，至今记忆犹新。
从‘无所谓’到‘如临大敌’
那封邮件之后，我花了整整两天时间盘点自己的数字资产：库里十几款游戏，虽然不算多，但每一款都是节衣缩食买来的；还有几个Steam好友，以及聊天记录里那些吹牛打屁的回忆。我意识到，一个密码背后，锁着的不仅是一个账号，更是我在数字世界里的一段人生。
于是我开始重新审视‘新账号密码’这件事。每一次创建新Steam账号，我都像在给自己造一扇防火门。第一道防线，就是密码本身。
我的密码进化史
最初，我迷信‘长就是强’。我生造了一个20位的短语，比如‘MyDogIsFluffyAndLikesToRun2017’之类的。后来发现，虽然长度够了，但这种可预测的短语依然容易被字典攻击命中。于是我开始混合大小写、插入特殊字符，比如把‘and’换成‘&’，把‘To’换成‘2’。但记忆成本也直线上升，我不得不用小本本记录——这又引出了新的安全问题。
密码管理器：我的数字保险箱
在经历了几次忘密码的尴尬后，我投向了Bitwarden的怀抱。现在我所有Steam新账号的密码都由它生成：16位随机字符串，包含大写、小写、数字和符号，每个账号独一份。我只需要记住一个主密码，剩下的交给工具。刚开始心里也打鼓：万一主密码崩了怎么办？所以我把它写下来，分成三份，藏在父母家和办公室。听起来滑稽，但确实管用。
二次验证：密码之外的护城河
再强的密码，也怕‘社会工程学’。我朋友的Steam账号被盗，就是因为在钓鱼网站上输了密码+验证码。那之后我才真正重视起Steam Guard移动验证器。每次新账号注册完，我做的第一件事就是绑定手机令牌。它生成的一次性代码只有30秒有效期，就算密码被窃，黑客也进不来。而且Steam的移动验证器现在还能确认交易，我也把它开着，虽然每次买卖皮肤多按一下确认键，但心里踏实。
一个容易被忽视的细节：恢复代码
去年我换手机，忘了迁移令牌，差点把自己锁在外面。好在之前我把恢复代码打印出来夹在了书里。那串代码现在就是我账号的‘逃生门’。所以每次帮朋友设置新账号，我都会恨不能把‘打印恢复代码’这几个字刻在他们额头上。真的，存电子设备里都不保险，万一手机丢了、硬盘坏了，就真哭了。
账号密码背后的‘人’
这么多年折腾下来，我养成了一个奇怪的习惯：每次创建Steam新账号，都会在输入密码前停顿三秒。想想这个账号将来可能会替我承载几百甚至上千小时的游戏时光、和陌生人相识的瞬间、以及无数个通宵奋战的夜晚。然后我才会郑重其事地敲下那一串字符。
密码，说到底是一个承诺——我承诺保护好这些虚拟世界的记忆。而这份承诺，值得用最笨最啰嗦的方式去实现。毕竟，数字资产失了还能再买，但游戏里的那些故事和心情，丢了就真的丢了。
现在，每当我看到一个Steam好友在注册新账号时还在用‘123456’或者自己的名字，就会忍不住唠叨几句。不是好为人师，只是不希望他们重蹈我的覆辙。因为那个在深夜惊慌失措的感觉，一次就够了。
