撞库风险与密码管理器
一码通用 + 无二次验证——任意一个站泄露，攻击者拿邮箱密码去撞所有主流平台，一个库破全号；密码含姓名/生日/学号（字典攻击秒破）；密码只存浏览器不同步不备份（换机即失忆）；只改密码不开两步验证（撞库防的是「密码本身」，二次验证防的是「密码泄露之后」）
适用场景
一个密码走天下、听说某平台数据泄露、或收到异常登录提醒时
核心坑
一码通用 + 无二次验证——任意一个站泄露，攻击者拿邮箱密码去撞所有主流平台，一个库破全号；密码含姓名/生日/学号（字典攻击秒破）；密码只存浏览器不同步不备份（换机即失忆）；只改密码不开两步验证（撞库防的是「密码本身」，二次验证防的是「密码泄露之后」）
正确姿势
分层策略——高危账号（支付、学籍、主邮箱、网盘）独立强密码 + 开两步验证（验证器 App 生成动态码，别用短信验证码兜底）；密码交给密码管理器统一生成与保管：KeePass 系（本地数据库文件，KeePassDX 安卓端可配指纹解锁）或 Bitwarden（开源可自建，免费档够学生用），主密码是唯一要背的密码，数据库文件勤备份；自查：把常用密码放进泄露库查询工具看是否已泄露；邮箱密码永不复用——它是所有账号的找回入口
关键时间
以学校当年通知为准；关键节点通常集中在开学、期末和毕业季。
来源
补充说明
撞库是最常见的账号攻防：你在小站用了和邮箱一样的密码，小站泄露，攻击者拿这组凭据去登录邮箱、支付、网盘——损失不发生在泄露的那个站，发生在复用密码的所有地方。所以安全的基本盘不是「密码多复杂」，而是「不复用 + 两步验证」这两条纪律，其余都是锦上添花。
落地工具选一个就够：想掌控数据用 KeePass 系（密码库是本地文件，手机电脑间手动或同步盘搬运，丢了备份就全丢，所以备份纪律要硬）；要便利用 Bitwarden（云端同步，免费档对学生够用）。主密码是单点——它要长、要唯一、只能记在脑子里。开两步验证后把恢复码打印或离线存一份：手机丢了，恢复码是唯一能把你领回自己账号的东西。
相关条目
这类通知，雷达会帮你盯
把群消息变成待办，截止前 7/3/1 天提醒；工具只在本机跑，数据不上云。