换路由器时那栏"加密方式"：WPA2 与 WPA3 之间，差的是一次离线试密的机会

换过路由器的人都见过那个设置页：安全模式下拉框里躺着 WPA2、WPA3、或者”WPA2/WPA3 混合”。大多数人只关心”连得上连不上”，随手选一个能用的就走。但这一栏真正回答的问题是：当有人想进你的无线网络，他需要付出什么代价；以及你的密码值多少字符，才守得住。

这一栏守的是哪扇门

先划清边界。加密方式管的是”无线空口”这扇门：设备和你家路由器之间那一段无线电波，以及开门用的那把预共享密钥，也就是你贴在光盒上的 Wi-Fi 密码。它不管两件事：你连上之后访问的网站是真是假，那是浏览器和证书的事；你的路由器管理页有没有换过默认口令，那是另一个入口，需要单独检查。分清这三层，才知道这一栏的强与弱在保护什么。

WPA2 的门锁逻辑：抓走一次，回到家里慢慢试

WPA2 用预共享密钥做设备接入时的握手。关键机制在于：一个能覆盖到你家信号范围的陌生人，可以录下设备接入过程中的握手报文，然后离开——不需要蹲守，也不会触发任何提醒。握手报文本身不含明文密码，但它给了外部一个可以”对答案”的凭据：把密码候选一条条代进去算，算对的那条自报家门。这就是离线字典式尝试：判断的算力可以在很远的地方进行，速度只取决于攻击者的设备和你的字典。

这条机制直接改写了一个常识。过去说”密码别太短”，在 WPA2 的接入场景里，它的意思不是”别人猜十次进不来”，而是”别人可以猜十亿次，你的字符量和长度决定这十亿次要跑多久”。十二位随机字母数字与八位纯数字之间的差距，在这种离线场景下不是”更保险一点”，而是数量级的差距。密码里带手机号、生日、门牌号，等于把字典直接递到对方手里。

WPA3 改的不是密码长度，是试错方式

WPA3 的个人网络模式用 SAE（对等实体同时认证）替换了预共享密钥的握手方式。对普通用户的实际含义是：每一次连接尝试都需要与路由器实时完成一轮协议交互，攻击者录一段报文回到电脑前，没法像过去那样对着录下来的数据成批地试密码；猜测被推回了”必须在线、一次一个”的状态，而在线尝试是可以被路由器限速、拦截和察觉的。官方发布说明里对这一点的表述是：即便用户选择了低于常规复杂度建议的密码，也能获得更有韧性的基于口令的认证。

版本事实按时间线摆清楚：无线认证的行业协会在 2018 年 6 月 25 日宣布推出 WPA3 认证，同时 WPA2 仍是认证设备的强制项；新旧设备通过过渡模式共存。也就是说，直到今天家里新旧混杂是常态，而不是你的路由器出了问题。

设置页逐项核对动作

• 安全模式优先选 WPA3；老设备有连不上的，选 WPA2/WPA3 过渡模式，不要因为一两个旧设备把整个网络降级成开放或不设密；
• 主密码用足够长的随机串，至少十二位起，避免手机号、生日、门牌组合；
• 家里带摄像头、音箱这类联网的小设备集中放访客网络或独立名称的网络，主密码泄露面收窄一格；
• 顺手检查管理页：默认口令改掉，远程管理关掉，固件停留在多年前的老设备列入更换计划；
• 改完密码后挨个重连一次常用设备，把重连不了的旧设备列成一张清单，处理它们用隔离，而不是用降级。

协议救不了的三件事

再强调一遍边界：再新的加密方式，也不验证你连到的热点名字是不是山寨；也不保护你输进钓鱼网站的账号；也不替你管管理页的弱口令。Wi-Fi 设置页这一栏是”门锁等级”，不是”防盗系统”。它和门锁、猫眼、楼道灯的关系，就是这套加密协议和上面那三件事的关系——每一样都要单独装。

风险提示

本文只讨论识别、预防与处置顺序，不构成投资建议，也不承诺任何设备、协议或流程能杜绝损失。文中涉及的产品功能、厂商策略与规范换代时间会随版本和地区变化，办理或配置前以对应官方渠道当期说明为准。涉及资产操作时，任何一次改绑、迁移或授权变更都可能触发平台的安全冷却或人工复核，请预留时间，不要在被催促的状态下完成关键步骤。