账号安全的大部分问题都可以归结为几件具体的事：密码怎么设、设备怎么管、异常怎么发现。这些不是抽象原则，而是可以逐条执行的检查项。
密码强度
"密码要复杂"这句话太笼统，具体一点：
- 长度比复杂度更重要。一个 16 位的纯小写字母组合，破解难度高于 8 位的"大小写+数字+符号"组合。因为破解成本随长度指数增长，而字符集扩大带来的增益相对有限。
- 不要用个人信息。生日、手机号后四位、姓名拼音、常用昵称，这些是暴力破解字典里优先级最高的条目。
- 不要跨站复用。这是实际危害最大的一条。某个小网站被拖库后，攻击者会拿同一组账号密码去尝试其他站点，成功率相当高。
- 优先用密码管理器。让工具生成并记住随机密码，比人脑想"既好记又复杂"的密码可靠得多。
如果必须自己记，一个可行的方法是构造句子型的密码：取一句只有你知道的话，用每个字的拼音首字母加上数字组成，长度容易做到 16 位以上，且不容易被字典命中。
设备与登录管理
多数平台提供"登录设备列表"，能看到当前账号在哪些设备、哪些地点登录过。这个列表值得定期检查：
- 是否有自己不认识的设备型号
- 是否有异常的地理位置（尤其是与常用地点差异很大的）
- 是否有长期未使用但仍然保持登录的设备
发现异常设备时，正确做法是先修改密码，再移除设备。顺序反了的话，对方可能在你改密码之前就重新登录。
另外，公共设备（网吧、酒店电脑、借用的手机）登录后要主动退出，而不是直接关窗口。很多站点在关闭窗口后仍保持会话有效。
如何发现异常
几个可以直接观察的信号：
| 现象 | 可能的含义 | 建议动作 |
|---|---|---|
| 收到未操作的验证码 | 有人正在尝试用你的手机号登录 | 不要提供给任何人，检查账号近期登录记录 |
| 被强制下线 / 显示在别处登录 | 有其他会话正在使用该账号 | 立即改密码并移除设备 |
| 昵称、头像被修改 | 账号已被他人控制 | 改密码，检查是否绑定了陌生邮箱或手机 |
| 收到陌生好友申请或消息 | 可能是社工的前置步骤 | 不点击链接，不透露验证码 |
看似"没什么损失"的异常也值得处理。账号被控制后，攻击者常见的目的不是立刻造成损失，而是先观察、先建立信任，等待更合适的时机。
社工类风险
技术手段之外，更大比例的问题来自社会工程。几种典型话术：
"我是客服，需要你提供验证码核实身份"——真正的客服永远不会索要验证码。验证码是最后一道防线，提供给任何人等于把钥匙交出去。
"帮你解封 / 帮你提升额度，需要先登录你的账号"——任何要求代登录的请求都应当拒绝，无论对方声称是什么身份。
"点击链接领取补偿"——这类链接通常指向仿冒页面，外观可以做得和真站几乎一样。判断依据不是页面长什么样，而是域名是否完全一致。
共同点是：所有社工最终都要落到"你主动交出凭证"或"你主动点击链接"这两件事上。守住这两条，绝大多数社工手段都会失效。