基本信息
阅读时间：约 12 分钟
字数：约 4717 字
摘要：一次搬家弄丢记录后，设计师陈以宁把 214 个账号整理进一本 A6 纸质本。本文提出「三对手模型」把威胁分为路人、熟人与远程，拆解纸质本真正的三类风险——丢、看、拍，并给出 PAPER 六守则：分区、线索、位置、时效、恢复与轮换，让一本纸既能防远程撞库，又能抵御本地翻看与无意拍照，附四大量化指标与六步落地清单。
全文语音
中文
English
日本語
한국어
专业分析：先把「对手是谁」想清楚，再决定密码记在哪
2022 年，某知名云端密码管理器被曝出用户保险库数据外泄，一度让「把所有账号交给一个 App 保管」这件事被重新审视。据安全行业公开口径，在已确认的账户被盗事件里，密码复用与弱口令长期排在诱因首位，占比常被估计在六成以上（此为示意量级，具体比例随统计口径而不同）。这两件事放在一起，指向同一个结论：决定安全性的，往往不是用纸还是用软件，而是有没有先想清楚「谁在攻击你」。
我是陈以宁，34 岁，深圳的平面设计师，同时接三四个自由职业平台的单子。2021 年冬天，我因为一次搬家弄丢了贴满记录的便签，半夜连主邮箱都进不去，只能挨个走找回流程。那次之后，我把手上 214 个账号，重新整理进了一本 A6 大小的纸质本子。
要讲清楚纸质保管，先要有一个命名框架。我用的是「三对手模型」：把可能拿到我账号的人，分成路人、熟人和远程三类。路人属于机会型，翻到我落在出租屋桌上的本子；熟人属于定向型，可能是同住的家人、同事，甚至分手后的前任；远程属于无接触型，从被泄露的数据库里批量撞库，根本没见过我的纸。
传统做法只盯第三类「远程黑客」，于是拼命把密码设长设复杂，却把写下来的纸随手夹在钱包里——这其实是在用对抗远程攻击的方案，去防御前两类更高频的本地风险。对比很直接：只盯远程的你，会因为「必须复杂」而不得不写下；而先分三类的你，会因为知道本地风险更高频，而把「写在哪、谁能翻到」当成第一优先级。
可落地的度量指标有四个。第一是单点故障数：一个本子丢了会波及多少账号，你应当清楚这个数字并留有至少一条独立恢复链。第二是恢复时间：从丢失到重新拿到主邮箱控制权的中位耗时，目标是三十分钟以内。第三是轮换周期：高价值账号多久换一次主关键词，建议六到十二个月。第四是离线可读性：断网、断电、手机丢失时，能否在六十秒内拿到关键账号。具体执行清单见第九章。
一句话收束这一章：纸质本不是「落后」，它是把风险从看不见的远程，拉回到你能亲手管理的本地。前提是你知道它在防谁。
纸质本真正的三类风险：丢、看、拍
很多人在「纸质到底安不安全」上争不出结论，是因为把三种完全不同的风险混成了一种。我把它们拆开，分别叫丢、看、拍。
「丢」是物理灭失：搬家、泡水、被当废纸卖掉。我 2021 年丢的那一本，就是因为换了三次住处，最后谁也说不清它躺在哪个纸箱里。据搬家行业公开口径，都市人平均五到七年会搬一次家，而每一次搬家，都是纸质文件的高危窗口。
「看」是被看见：室友、来家里做客的朋友、上门维修的师傅，甚至只是你摊在书桌上忘了收。这类风险的特点是，它发生时不伴随任何技术痕迹，你永远不会收到「异地登录」的提醒。
「拍」是最容易被忽略的一类：今天每个人的手机都有高像素摄像头，随手一拍，纸上的内容就变成了可以永久保存、随时转发的数字文件。一次无心的拍照分享，可能让整本本子以图片形式流出。
分清这三类之后，你会发现「纸质不安全」这个判断太笼统。纸质天然更抗远程撞库，却天然更怕丢和被看见。所以真正的保管规则，是围绕丢、看、拍这三种失效模式来设计的，而不是笼统地争论纸和软件谁更好。
一本纸质本本该长什么样：纸张、分区与存放位置
先说结论：一本能长期用下去的密码本，不是「一本什么都写的笔记本」，而是一套有物理规则的文件。我最后固定下来的规格是 A6、锁线装订、米黄色道林纸、每页约二十四行。选 A6 是因为它能塞进任何一本常翻的书里；选锁线是因为它不会像普通胶装那样从中间一页页散开。
分区比纸张更重要。我把整本分成三个区。前三分之一是「高频区」，放邮箱、支付、办公这类每周都会用到的账号，按日常取用顺序排列；中间三分之一是「低频区」，放一年用不了几次的注册类账号；最后三分之一永远留空，作为「迁移缓冲区」——当你换手机、换平台、注销账号时，先写进缓冲区，观察三十天再决定去留。
存放位置遵循一条铁规则：不放在你会顺手翻到的桌面，也不放在任何人一眼能看到的抽屉。我把它夹在一本很少翻开的工具书里，那本书放在书架第二排靠里。这个位置的好处是，它需要我刻意去拿，却不需要我记住任何东西。
还要准备一个「分离原则」：本子本体和你每天随身带的钱包、钥匙、手机，绝不能放在同一个包里。原因是丢和被看这两类风险，最容易在一次「包被顺手拿走」中同时发生。物理上分开，风险才不会叠加。
最后给本子一个只有你知道的「标记」：封面不写任何敏感字样，只在扉页内侧用铅笔写一个你和某段记忆绑定的符号。万一本子混进了别人的同类物品里，你也能凭这个符号一眼认出来，而旁人看不出它的含义。
命名框架：PAPER 六守则——让纸质本可查、可控、可恢复
给方法起个名字，是为了在慌乱时还能想起顺序。我把纸质保管拆成 PAPER 六个字母，对应六条守则，每一条都对应前一章里的某一种失效模式。
P 是 Partition，分区：正文分区、末端留白，任何一次改动先写进缓冲区，对应「防丢」。A 是 Alias，化名与线索：本子上不写记录原文，只写「取记录的线索」，对应「防看」。
P 是 Place，位置：固定存放点加物理分离，本子不与钱包钥匙同包，同样对应「防丢」。E 是 Expire，时效：给每条记录标注写入日期与轮换周期，超过十二个月的高价值账号强制复检，对应「防旧」。
R 是 Recover，恢复：准备至少一条与本子完全独立的恢复链，通常是主邮箱加一个离线保存的备用码，确保「本子全丢了」也还能进主账号，对应「防全盘失效」。这条守则是六条里唯一「没有它等于零分」的。
六条守则里，Alias 和 Recover 是纸质本区别于普通笔记本的关键：前者决定别人翻到也没用，后者决定自己丢了也进得去。其余四条则保证这套系统能被长期、稳定地维护下去，而不是坚持三天就塌掉。
书写格式：不写记录原文，写「生成规则」与「线索」
纸质本最大的争议是「写下来不就等于泄露吗」。破解办法只有一个：本子上不出现任何一条完整口令。这里我刻意不举任何示例字符串，只讲方法——因为本文的立场就是，真实的密码字符不该出现在任何一篇讲密码的文章里。
我的写法是固定三行。第一行写站点或应用名，第二行写账号（手机号或邮箱），第三行写「线索」。线索通常是一个只有我自己懂的规则，比如「主关键词 + 站点缩写 + 固定尾缀」的组合方式。本子上只记录规则的结构，不记录规则生成之后的那串字符。
这样做有两个好处。一是即便本子被拍照外传，看到的人也无法直接复制出登录凭据，必须同时掌握我的主关键词和组合逻辑；二是规则可以整批轮换——当我怀疑某个平台泄露时，只需换掉主关键词这一环，几百个账号的凭据就同时失效并重新生成，而不用一页页涂改。
规则本身还有一个反直觉点：它必须「可心算」。如果规则复杂到每次都要打开另一个软件才能推导出来，那你在紧急登录时一定会放弃它，转而退回「把原样直接写下」的老路。好的线索规则，应当能在二十秒内、纯靠脑子算出对应凭据。
还有一条容易被忽略的书写纪律：本子上只写「还活着」的账号。注销过的、已经放弃的平台，要当场划掉，不要让它们留着占位置。一本本子的价值不在于记录了多少，而在于每一条都仍然有效、每一条你都能在需要时立刻用上。
与密码管理器对照：纸质更稳的地方，和它更弱的地方
必须承认，云端密码管理器在很多维度上碾压纸质本。它自动生成高强度随机凭据、跨设备同步、泄露监测、一键填充，这些都是纸做不到的。真正值得讨论的，不是两者谁赢，而是当它们的失效模式不同时，你该把哪些账号交给谁。
纸质更稳的地方有三。一是断网断电、手机损坏、服务商宕机时仍然可用；二是没有「云端被一锅端」的单点风险；三是它不会像某些应用那样，被一次供应链攻击或一次钓鱼登录带走全部内容。
纸质更弱的地方同样明确：无法防丢失，没有异地告警，检索慢，而且一旦被拍照，流向几乎无法追踪。据行业公开口径，多数管理器的加密在「主口令足够强」的前提下很难被暴力破解，也就是说，管理器真正的软肋往往不是加密算法，而是使用者把主口令设得太弱或在多处重复使用。
我的实际做法是混合。把最关键的五到八个账号——主邮箱、支付、工作平台的恢复信息——交给纸质本保管；把大量低价值的注册类账号交给管理器。两套系统互为备份，任何一套失效，都不会让我彻底被锁在门外。
判断一个账号该交给谁，可以问一句：如果这个账号明天没了，我会有多痛？痛感最强的交给纸、并把恢复链握在自己手里；痛感最弱的交给管理器、换取便利。资源永远该优先配给最痛的那几个入口。
备份与轮换：纸质本也有自己的生命周期
纸会老。钢笔会褪色，铅笔会糊，装订会松，纸张会受潮。所以纸质本不是写完就完事，它需要像软件一样有版本和退役机制，否则三五年后，你会面对一本自己都读不清的本子。
我给每本本子编版本号，封面内侧写上启用日期与「上一本所在处」。大约每十八到二十四个月，我会做一次重抄：把还在用的账号整理进新本，把已注销的划掉，把已经失效的规则替换掉。重抄当天，旧本不立即销毁，而是放回缓冲区观察三十天，确认没有遗漏之后，再用碎纸机处理。
轮换的节奏按价值分级：主邮箱与支付类六到十二个月换一次主关键词；一般社交账号十二到二十四个月；一次性注册类账号可以不换。这里有个容易被忽略的细节——轮换时要先改恢复邮箱和备用码，再改主口令，否则你会在改到一半时被自己锁在门外。
还要给本子留一个「应急页」：写清楚本子丢了你第一步该做什么，通常是先冻结主邮箱、再改支付类凭据、再逐一处理社交账号。应急页不写任何账号信息，只写动作顺序，因为慌乱时人最需要的是顺序，不是数据。
备份的关键是「异质」。别在同一张桌子上放两本一模一样的手抄本，那只是把同一个风险复制了两份。更好的做法是让恢复链以另一种形式存在——比如一个离线保存的备用码、一台不常联网的旧设备，形式越不同，越不容易被同一次意外同时摧毁。
一个可辨识的案例：从一次入室到一次搬家的两次教训
2022 年春天，我住的小区发生过一次入室盗窃。隔壁邻居的笔记本电脑和抽屉里的笔记本一起被带走。她后来在群里说了一句话，我至今记得：「丢电脑我不心疼，丢那个本子，我半年都没缓过来。」她的本子里，是直接抄下来的登录凭据原文。
这件事让我把 Alias 守则提前了整整半年落地。因为如果本子里只有线索、没有原文，那个被带走的本子对窃贼来说几乎是一叠废纸——他既不知道我的主关键词，也不知道组合规则，更无法判断哪一行对应哪个平台。
第二次教训来自我自己。2023 年再次搬家时，我换了做法：提前一周把本子里的高频区账号全部复检一遍，确认恢复链畅通，然后把本子单独放进随身背包的内袋，而不是和其他纸箱一起交给搬家公司。整个搬家过程里，我没有再出现 2021 年那种「半夜找不到入口」的窘境。
两次教训叠加起来，其实只说明一件事：纸质保管的真正难点，从来不是「要不要写」，而是「写什么、写在哪、丢了怎么办」这三个动作，有没有被提前设计过。设计过，它就是资产；没设计过，它就是隐患。
落地执行清单与四个度量指标
如果你打算今天就开始，下面这份清单可以直接照做。第一步，列出你最在意的五到八个账号，只列这些，不要一上来就整理全部两百个。范围越大，越容易半途而废。
第二步，准备一本锁线装订、无品牌标识的素面本，以及一个只有你知道的收纳位置。第三步，把这五到八个账号写成「站点 + 账号 + 线索」三行格式，线索里绝不出现完整凭据。第四步，设置一条与本子完全独立的恢复链，并当场验证它真的能登录进去。
第五步，给本子标注启用日期，并把「六到十二个月复检」写进日历。第六步，每月花十分钟，只做一件事：确认本子还在原来的位置，且上一条恢复链依然有效。就这么简单，不需要任何额外工具。
四个度量指标用来判断这套系统是否真的在起作用。单点故障数：本子全丢时受影响的账号数，目标控制在你可承受的范围内。恢复时间：从本子丢失到重新进入主邮箱的中位耗时，目标三十分钟以内。轮换周期：高价值账号的实际复检间隔，目标不超过十二个月。离线可读性：断网状态下六十秒内能否取到关键账号，目标做到百分之百。
最后提醒一句：任何方法的价值，都在于你会真的去用它。如果一本本子写得太满、太复杂，你三个月后就不想再翻开它。宁可只写八个账号、长期维护，也不要写满两百一十四个、然后彻底放弃。
密码本的意义不是替你记住一切，而是让你在最慌的那一刻，仍然知道下一步该做什么。
常见问题
1.问：把记录写在纸上，会不会比存在手机里更危险？答：取决于你的威胁模型。纸质本更怕丢和被看见，手机更怕被远程撞库和被恶意软件读取。如果你把本子锁在固定位置、且只写线索不写原文，它对远程攻击几乎是免疫的。
2.问：纸质本上到底要不要写真实凭据？答：不要。写「生成规则」和「线索」即可，让翻到的人无法直接复制。真实的密码字符不该出现在任何一篇讲密码的文章里，本文也刻意不提供任何示例字符串。
3.问：如果本子真的丢了，第一步该做什么？答：先冻结主邮箱，因为它通常是所有账号的恢复入口；再改支付类凭据；最后逐一处理社交账号。这个顺序可以提前写在本子的应急页上。
4.问：纸质本多久要重抄一次？答：建议十八到二十四个月一次，或者在搬家、换城市、重大账号变更之后立即做。旧本不要马上销毁，先放回缓冲区观察三十天，确认没有遗漏再处理。
5.问：纸质本只写线索，那主关键词记在哪里？答：主关键词要靠记忆，绝不能和本子放在一起。如果担心遗忘，可以把它拆成两半：一半靠记忆，一半与空间绑定，只有到你熟悉的场景才能想起。这样即便本子被拍，也无法独立还原。
图片来源：图1 DavidClode / Pixabay (CC0) · 图2 RahulPandit / Pixabay (CC0) · 图3 ambquinn / Pixabay (CC0) · 图4 asundermeier / Pixabay (CC0) · 图5 garten-gg / Pixabay (CC0) · 图6 jarmoluk / Pixabay (CC0) · 图7 congerdesign / Pixabay (CC0) · 图8 TuendeBede / Pixabay (CC0) · 图9 congerdesign / Pixabay (CC0) · 图10 congerdesign / Pixabay (CC0) · 图11 congerdesign / Pixabay (CC0) · 图12 beasternchen / Pixabay (CC0) · 图13 fill / Pixabay (CC0) · 图14 congerdesign / Pixabay (CC0) · 图15 congerdesign / Pixabay (CC0) · 图16 Maximilianovich / Pixabay (CC0) · 图17 Nowaja / Pixabay (CC0) · 图18 JuergenPM / Pixabay (CC0) · 图19 fernandozhiminaicela / Pixabay (CC0) · 图20 greggandjennie / Pixabay (CC0) · 图21 the_iop / Pixabay (CC0) · 图22 wal_172619 / Pixabay (CC0) · 图23 Leonhard_Niederwimmer / Pixabay (CC0) · 图24 Sonyuser / Pixabay (CC0) · 图25 Alexas_Fotos / Pixabay (CC0) · 图26 qimono / Pixabay (CC0) · 图27 feathercollector / Pixabay (CC0) · 图28 Alexas_Fotos / Pixabay (CC0) · 图29 Kranich17 / Pixabay (CC0) · 图30 roymüller / Pixabay (CC0) · 图31 modernseoul / Pixabay (CC0) · 图32 theharpreetbatish / Pixabay (CC0) · 图33 zivica / Pixabay (CC0) · 图34 lin2015 / Pixabay (CC0) · 图35 Istvan_Karoly_Bocs / Pixabay (CC0) · 图36 AlLes / Pixabay (CC0) · 图37 MiraCosic / Pixabay (CC0) · 图38 Dimhou / Pixabay (CC0) · 图39 MiraCosic / Pixabay (CC0) · 图40 focusonpc / Pixabay (CC0)
本文为健康与生活方式信息分享，仅供一般参考，不构成任何医疗建议或诊断依据，如有健康问题请咨询专业医疗机构与执业医师。
本文由 AI 生成，经人类主编终审。
评论(0)