口令就是全部防线
口令是 WPA2-PSK 的全部防线：长度、复杂度与复用习惯共同决定它抗穷举的能力。PSK 的风险点在于「一次泄露等于全网泄露」——口令是全体共享的，任何人拿到口令就等同于拿到网络密钥，而且换口令要通知所有人。企业应当把口令策略落到管理流程里，而不是只在部署时想一次。
基本信息
| 规范长度 | 8~63 字符（WPA2-PSK 规定范围） |
|---|---|
| 建议强度 | 12 位以上，长短语或随机串，避免可猜组合 |
| 管理要求 | 定期更换、不同用途不复用、离职回收 |
| 结构性弱点 | 全员共享，单点泄露波及全网 |
| 增强方向 | 迁移到 WPA3-SAE 或 802.1X |
典型使用场景
- 小微企业没有 RADIUS，只能用 PSK 时的策略制定
- 门店与连锁场景评估是否所有门店共用同一口令
- 安全检查中发现口令是「公司名 + 年份」
- 更换口令时评估影响范围与通知方式
- 评估从 WPA2-PSK 迁移到 WPA3-SAE 的路径
口令示例
口令示例
# 反面示例（不要使用）
# company2026 / wifi123456 / 电话号码后八位 / admin888
# 正面做法：长短语或按场景随机生成，纳入密码库统一保管
# 示例结构：x7K!mQ2z#Lp9（随机生成后妥善保存）风险与管理动作
| 风险 | 后果 | 管理动作 |
|---|---|---|
| 口令过短或可猜 | 离线穷举与在线猜测都易命中 | 强制 12 位以上随机口令 |
| 多场景复用 | 单点泄露扩散到全网 | 一场景一口令并纳入密码库 |
| 长期不轮换 | 泄露后长期有效 | 按周期轮换并记录变更 |
| 离职不回收 | 离职人员仍持有口令 | 交接流程中同步回收 |
WPA3/SAE 能抵抗离线穷举，但弱口令仍可能被在线猜测，强度策略在任何代际都是必要的。
「足够复杂就行」不够：同一口令在多个 SSID、多个门店复用，会把单点泄露放大成全网范围的风险。
口令交接要成套管理（存放位置、轮换周期、离职回收），否则再强的口令也会因人员流动而失效。