大多数链接生来就该敞开。有些不该，而区别通常不在戏剧化的"保密"，而在于：让某个东西不出现在搜索结果里、不上公共时间线、只限于本来就该看到的人。
短链接的密码保护在访客和落点之间加了一步。用在合适的地方，它解决真实的问题；当成正经访问控制的替身，它制造虚假的安全感。
它真正防得住什么
- 意外暴露。链接贴错了窗口，或没多想就转发了出去。
- 搜索引擎收录。受保护的落点几乎不会出现在结果里。
- 随手窥探。捡到链接的人看不到链接背后是什么。
- 超出预期范围的转发。密码比链接更难被随手转下去。
它防不住什么
下面这份清单比上一份更重要，因为对链接密码抱错期待才是让人吃亏的方式。
- 任何拿到密码的人。你无从知道是谁在用。
- 坚决的攻击者。单一共享秘密不是强认证。
- 敏感的个人或财务数据。那些请用真正的账号访问控制。
- 需要审计记录的东西。必须知道"谁在什么时候访问了什么"的话，这不是那个工具。
- 泄漏了你会受重创的内容。把保护当减速带，别当保险库。
它适合的场景
- 分享草稿。还不该公开的客户预览。
- 小范围分发。内部文档、活动物料、给特定团队的文件。
- 发布节奏。东西提前准备好了，但必须等日期。
- 让内容离开搜索。只在特定语境里有意义的页面。
- 减少噪音。面向一小撮人而非所有人的资源。
选一个人们真的用得起来的密码
这个密码要能活着穿越聊天应用、能在电话里被念出来——这就排除了最强的那类选项。
- 用几个不相干的词，而不是随机字符。更长、更好传达，强度也没弱多少。
- 避开会被弄乱的符号。有些字符在应用之间复制时会坏掉。
- 避开显而易见的选择。项目名、年份、password——人们最先试的就是这些。
- 别复用你在别处用的密码。链接密码的分享随意度远高于账号凭据。
- 圈子变了就换密码。有人离开是轮换的常规理由。
怎么把密码发出去
- 用和链接不同的渠道发密码。全部意义就在这：一道防线失守不会两样全丢。
- 分开说。密码和链接在同一条消息里，等于几乎没保护。
- 告诉他们会看到什么。一句解释都没有的密码弹窗会让大多数访客直接离开。
- 消息保持短。长说明会被略读，密码会被漏掉。
把页面也设计好
- 写明这是给谁的。有上下文，人们才不会以为链接坏了。
- 给个求助入口。一个邮箱或联系方式，把死胡同变成一次询问。
- 手机上保持简单。几乎全部尝试都发生在手机上。
- 别剧透密码后面的东西。把内容描述出来的页面，抵消了保护的大半意义。
- 优雅处理输错。给一条清晰的提示，而不是白屏。
与过期时间组合
密码保护和过期时间是天生一对，两者一起覆盖大多数实际场景。给客户共享的草稿可以同时加密码、设过期——项目一结束访问自动终止，你也不必记得手动撤销。这个组合比单独任何一个都有用：密码把不相关的人挡在门外，过期限制门总共开多久。
群组分享时的密码
群组分发是密码保护最常用、也最常被误用的场景，因为密码的传播速度总是超出所有人的预期。
- 假设密码必然扩散。十个人的群里，至少有一个人会把链接和密码一起转发。
- 圈子变了就换。成员变动的那一刻，保护就开始脱离现实。
- 密码别用群名。等于向猜到的人确认了链接背后是什么。
- 想想密码到底是不是对的工具。如果本来就该全员可见，这层保护基本是象征性的。
- 接受它诚实的定位。在群组场景里，它主要防的是意外暴露，而不是蓄意访问。
最后这点值得咂摸。链接密码过滤的是"不小心"，不是"有意图"。理解这一点的团队会在对的场景用它，也不会指望它完成它从未被设计出来的任务——这通常就是"有用的保障"和"虚假的安全感"之间的分界线。
对局限保持诚实
受保护链接最常见的误用，是把它们当成保密信道。它们不是。共享密码无法告诉你谁用过它、无法只撤销某一个人，而且能像链接本身一样被随手转发。带着这个理解使用，密码保护对草稿、小范围分发、以及一切只需要躲开搜索引擎和闲杂目光的东西都真正有用。把它当成真正访问控制的替身，它制造的那种静悄悄的过度自信，恰恰能把一次小泄漏变成一次大事故。