密码生成器 vs 密码管理器：究竟需要哪个？
它们解决同一个问题的两半，只用其中一个几乎帮不上忙。
两者各自做什么
生成器回答的是「密码应该是什么」，管理器回答的是「刚才那个到底是什么」。生成一个强密码，然后把它存进记事本应用，等于放弃了大部分好处。
| 生成器 | 密码管理器 | |
|---|---|---|
| 生成随机密码 | 是 | 是 |
| 记住它 | 否 | 是 |
| 填入登录表单 | 否 | 是 |
| 无需账号即可使用 | 是 | 通常不行 |
| 存储内容 | 什么都不存 | 全部加密存储 |
为什么这个站点不存储密码
一个替你保存密码的网页就是一处单点故障，而且它身上还画着一个格外诱人的靶子。要安全地做到这一点，需要端到端加密、经过独立审计的客户端，以及一套不依赖你数据的商业模式——那已经是另一个产品，而不是一个功能。
所以这个工具只做到生成。拿到结果之后该交给专门的密码管理器，因为在那种产品里，存储、同步和自动填充就是全部意义所在。
怎么选一款管理器
挑选时看三样东西：端到端加密且密钥只在你自己手里，一份独立的安全审计报告，以及完整的导出功能。导出的重要性超过多数人的想象：它决定了你是在选择一款管理器，还是被锁死在一款里。
无论最后选哪个，主密码都是唯一必须靠脑子记住的凭据。把它做成六词密码短语，并抄写一份，放在物理上安全的地方——一张锁在抽屉里的纸质副本，对一个绝不能忘记的密码来说，是合理的取舍。
常见问题
只用生成器可以吗？
前提是你有别的可靠方式来保存和取回密码。没有的话，生成的密码会不断被重复使用或重置，这恰好抵消了它的意义。
浏览器内置的密码管理器够用吗？
比没有强，对很多人也够用。弱点是可移植性——它们绑定在某一个浏览器生态里，导出往往很笨拙。
主密码应该用生成的吗？
生成的或构造的都行，但必须记住。六词密码短语是实用的折中；20 字符的随机串更强，但你记不住。