如何學習一個全新的概念：不要問「這是什麼」

為什麼你查完維基百科的定義，還是不知道那東西到底在幹嘛？

為什麼有些知識你背了三次還是會忘，有些聽一次就再也忘不掉？

為什麼同一份資料，有人讀完能舉一反三，有人讀完只記得幾個名詞？

這三個問題其實是同一件事。

而且問題不在你的記性，也不在資料的品質，在於你一開始問錯了問題。

為什麼你讀完定義還是不懂

「密碼原則是一組要求使用者建立高強度密碼的規定。」

這句話你完全看得懂。

每個字都認識，文法沒有問題，語意也很清楚。

但你讀完之後，腦中多了什麼嗎？

大概沒有。

你知道的東西跟讀之前一樣多，只是現在多了一個可以複述的句子。

會這樣，是因為：

一句定義，是某個已經搞懂的人，把腦中一整套結構壓縮成十五個字的結果。

而壓縮的過程中被丟掉的，正好是讓那十五個字有意義的東西。

你拿到的是壓縮檔，但沒有拿到解壓縮的程式。

這件事最危險的地方，是它會製造「已經學會」的錯覺。

你能複述那句定義，考試也答得出來，所以你以為自己懂了。

但等到要判斷一個具體情況適不適用、或是要解釋給別人聽的時候，你會發現手上什麼都沒有。

你懂的其實是差別，不是定義

上面那種空洞感是有原因的。

你知道「椅子」是什麼，不是因為你背過椅子的定義。

是因為你知道它跟旁邊那些東西差在哪裡。

跟凳子的差別，在有沒有靠背。

跟沙發的差別，在軟硬和大小。

跟桌子的差別，在你是坐上去，還是把東西放上去。

定義句只給你這個東西本身，不給你它周圍的東西。

所以你拿到一個孤零零的點，沒有任何座標可以定位它。

那要怎麼把周圍的東西一起拿到？

有一個問題可以一次做到：這東西出現之前，人們怎麼處理這件事？

這個問題會逼出一整組對比——舊做法是什麼、新做法差在哪、為什麼要換。

而且這組對比不是你硬記下來的，是它自己浮出來的。

不知道問題，答案就只能死背

任何一個規則、技術、制度、概念，都不是憑空長出來的。

它是某個人在某個限制底下，為了解決某個具體麻煩，做出來的一個回答。

當你不知道那個問題是什麼的時候，這個答案的每一個特徵看起來都是任意的。

為什麼是這樣？不是那樣？

沒有理由，就是這樣規定的。

所以你只能死背。

當你知道那個問題是什麼的時候，那些特徵會變成「在那個限制底下，本來就只能這樣設計」。

你甚至可以在別人告訴你之前，先猜出來。

舉一個小到不能再小的例子：鍵盤上的 F 和 J，鍵帽上有兩條凸起的小橫線。

如果你不知道問題，這件事就只能背——就是那兩顆比較特別，沒有為什麼。

如果你知道問題是「盲打的時候，手指要能在不看鍵盤的情況下回到起始位置」，那它就變成必然的。

而且你還可以反推：既然是要讓手指歸位，那凸起一定會放在兩隻食指停的地方——所以是 F 和 J，不會是別的鍵。

複述只需要記憶。

重建需要的是產生這個東西的那些限制條件——而那正是定義句丟掉的部分。

這篇文章接下來要做的事，就是示範怎麼把那些限制條件要回來。

把「這是什麼」換成這四個問題

方法本身很簡單，就是把「這是什麼」換成另外四個問題。

第一，這東西出現之前，人們怎麼處理這件事？

要具體場景，不要抽象詞。

以提款機為例：

第二，那個做法哪裡不行？

痛點要具體到「什麼情況下會出事」。

以印鑑為例：

有了它，你才會懂為什麼後來的電子簽章要設計成每簽一份文件就產生一組不同的簽章，而不是重複使用同一個。

第三，它犧牲了什麼換來什麼？

這題是四個裡面最重要的。

以外送平台為例：

這就是代價的用處——它會直接告訴你這個方案的極限在哪裡。

沒有代價的東西不需要被發明，因為早就人人在用了。

如果你找不到代價，通常代表你還沒摸到真正的重點。

第四，為什麼它不是另一種樣子？

當初有沒有別的路線？

為什麼那些輸了？

以手機電池為例，早期是兩條路並存的。

一條是可拆卸電池，沒電就換上一顆備用的。

另一條是不可拆卸電池，機身可以做得更薄、可以防水、同樣體積能塞進更大的電池。

不可拆那條路贏了，因為多數人在意「薄」和「防水」的程度，超過在意「能自己換電池」。

而輸掉的那條路留下的代價，你現在也看得到：電池老化之後，只能送修或整支換掉。

這題答得出來，基本上就是懂了。

這四個問題的順序不是隨便排的。

前兩個挖出當初的問題。

第三個逼出代價。

第四個檢查你有沒有漏掉別的可能。

四個問題本身平淡無奇。

真正的考驗，是把它們用在一個你已經很熟的東西上——熟到你每天遵守，卻從來沒想過它為什麼長這樣。

那些煩人的密碼規則，其實都推得出來

至少八個字元。

要有大寫、要有小寫、要有數字、要有特殊符號。

不能跟前幾次用過的重複。

每九十天強制更換一次。

這些規則你都背得出來，因為你被逼著遵守了很多年。

但大概從來沒有人告訴過你，它們為什麼長這樣。

用四個問句走一遍。

之前的世界長什麼樣

在這些規則出現之前，密碼就是幾個字。

生日、名字、電話號碼、123456、password。

那時候的想像是：有個壞人坐在電腦前面，一個一個猜。

所以只要不是太好猜的字，應該就安全了。

那樣哪裡不行

問題出在「壞人坐在電腦前面一個一個猜」這個畫面根本不對。

實際發生的事情是這樣：攻擊者想辦法偷走整個網站的密碼資料庫，然後把資料庫搬回自己的機器上慢慢試。

在自己的機器上，一秒鐘可以試幾億次。

而且他不會從 aaaaaa 開始亂試，他會先拿一份「人類最常用的密碼」清單跑一輪。

這叫字典攻擊。

你的 wang0315 撐不過第一輪。

所以真正要對抗的不是「猜得準的人」，是「一秒幾億次的機器」。

一旦目標換成機器，防守的邏輯就變了：你不需要密碼「難以聯想」，你需要它「組合數大到機器跑不完」。

每多允許一種字元，可能的組合就往上跳一個量級。

只有小寫的話，一個字元有 26 種可能；加上大寫、數字、符號之後，變成將近 100 種。

同樣是八個字元，組合數會差上好幾萬倍。

原本一秒鐘就跑完的東西，被推到要跑好幾年。

自己動手試試看：拉長度、勾字元集，看組合數和「一秒十億次的機器要跑多久」怎麼變。

代價是什麼

這就是那個取捨。

你把密碼從「人腦擅長儲存的東西」推向「人腦最不擅長儲存的東西」。

前者是有意義的字詞，後者是隨機字串。

換來的是機器跑不完。

記住這句話，接下來的每一個結論都是從它長出來的。

從這個取捨推出來的四件事

第一，為什麼大家會把密碼寫在便利貼上、到處重複用同一組？

因為那不是使用者懶惰，是取捨的必然後果。

你要求的東西人腦存不住，人就會找出口。

出口只有三種：寫下來、重複使用、用一個可預測的變形規則。

三種都會削弱安全性，而且是規則本身逼出來的。

看清楚這一點之後，密碼管理器為什麼會存在也就不用解釋了——它就是在補這個洞，把「人腦存不住」這件事外包出去。

第二，為什麼資安界現在反而不建議強制每九十天換密碼？

這一條是很多人今天還在遵守、但其實已經被推翻的規則。

原因還是同一個出口。

人被逼著每三個月換一次，不會每次都想出全新的隨機字串，而是 Password1、Password2、Password3。

攻擊者當然知道這件事。

所以強制更換的實際效果，是讓密碼變得可預測——這比原本那個沒被換過的密碼還糟。

而且這條規則背後有一個沒說出口的假設：密碼外洩之後你不會知道。

在今天，外洩偵測和二階段驗證都很普遍，這個假設已經不太成立了。

前提消失了，規則卻留著。

第三，為什麼長度比複雜度更重要？

回到組合數。

多加一個字元，是把總數再乘上一次字元集的大小；擴大字元集，只是把被乘的那個數字變大。

在指數的位置上動，比在底數的位置上動有效得多。

所以四個隨機英文單字串起來的長密碼，強度遠高於 P@ssw0rd，而且人記得住。

這一條同時解決了上面那個取捨——不是靠對抗人腦的限制，是靠繞過它。

第四，為什麼要有二階段驗證？

因為前面所有的努力，都走在同一條路上：讓密碼更難被猜中。

但密碼外洩根本不需要被猜中。

資料庫被偷。

你在假網站上自己輸入。

電腦中了側錄程式。

這三種情況下，密碼有多難猜完全不重要。

所以要補的洞不在「難猜」這條路上，而是需要一個不在資料庫裡的東西。

手機、實體金鑰、指紋，共同點都是它不會跟密碼一起被偷走。

一個故事，四個結論

停下來看一下剛剛發生了什麼事。

從「密碼很難記」這一個取捨出發，推出了四件事。

第一，使用者為什麼會有那些壞習慣——這是「人記不住」的直接後果。

第二，為什麼定期更換的規則被推翻——這是規則沒把「人記不住」算進去的下場。

第三，為什麼長度比複雜度重要——這是正面解決「人記不住」的辦法。

第四，為什麼需要二階段驗證——這是承認整條路都有邊界。

它們不是四個並列的知識點，而是一條線。

每一個都接在前一個的結果上。

如果你走的是定義路線，這四件事會是四條獨立的規則。

你要分開記，而且忘掉任何一條都不會有感覺，因為它們之間沒有任何連結。

還有一個更值錢的東西：你現在有能力判斷你沒背過的規則。

哪天你看到某個網站規定「密碼最多十六個字元，而且不能使用特殊符號」，你會立刻覺得不對勁。

因為限制長度上限這件事，跟前面推導出來的每一個結論都是反的。

會這樣做通常只有兩個原因。

一個是他們在資料庫裡直接存了你的密碼原文。

另一個是他們用了某個有長度限制的老舊系統。

這個判斷力，定義路線給不了你。

換一條你沒背過的規則，自己判斷看看：

換一個你完全沒碰過的東西：期貨

上面那個例子有個弱點：規則你本來就知道，只是不知道原因。

所以再拿一個你可能完全沒碰過的東西來試，看看方法在零基礎的情況下還有沒有用。

期貨。

定義長這樣：「期貨是一種約定在未來特定時間，以特定價格買賣某項資產的標準化合約。」

熟悉的感覺又來了——每個字都看得懂，讀完還是不知道這東西在幹嘛。

換四個問句。

之前的人怎麼辦？

農民春天播種，秋天收成的時候才知道那年的價格。

價格好就賺，遇到大豐收價格崩盤，就是血本無歸。

食品加工廠的處境是反過來的。

他們怕的是原料暴漲，因為成品的售價早就跟通路談好了，原料漲上去等於直接吃掉利潤。

那樣哪裡不行？

注意這兩邊怕的東西其實不一樣：一個怕跌，一個怕漲。

但他們真正討厭的是同一件事——不確定。

兩邊都沒辦法提前規劃，因為關鍵數字要到最後一刻才揭曉。

答案是什麼，代價是什麼？

答案很直接：現在就把價格談定，秋天照這個價格交易，不管到時候市價變成多少。

代價也很清楚：農民放棄了「萬一秋天大漲」的那份額外獲利。

加工廠放棄了「萬一大跌」的便宜。

兩邊都付了一筆看不見的保險費，買的是可預測性。

把那筆看不見的保險費變成看得見：春天先鎖定每單位 100 元，然後拉動秋天的實際市價，看兩邊各自得到、也各自放棄了什麼。

為什麼它不是另一種樣子？

到這裡，剩下的細節開始可以自己推了。

為什麼需要交易所？

因為雙方都要確定對方到時候真的會履約。

私下簽的合約，對方賴帳你只能去告他，而且你得先知道他是誰。

交易所站到中間，變成兩邊共同的交易對象，並且要求雙方先繳一筆保證金。

這筆保證金只是合約金額的一小部分，因為它的用途是擔保你會履約，不是拿來付款的。

為什麼合約要標準化成固定的數量、等級和月份？

因為要能轉手。

條件全部客製的合約找不到下一個人接，而你有可能在到期之前就想脫手。

標準化是為了讓合約可以流通。

為什麼會有一堆根本不種田、也不開工廠的人在買賣期貨？

因為在任何一個時間點，想鎖住價格的農民和加工廠，數量不會剛好相等。

缺口需要有人補上——願意承擔價格風險來換取獲利機會的人。

所以投機者在這個設計裡不是副作用，是這套機制能運作的必要條件。

為什麼期貨常常跟「爆倉」「血本無歸」連在一起？

因為保證金只收一小部分，你付出的錢和你實際在賭的金額之間，差了好幾倍。

這個設計原本是為了讓履約擔保不要壓住太多資金，但被拿來放大賭注的時候，它就叫槓桿。

你剛剛從零開始，拿到的不是一句定義，是一組互相支撐的理解。

而且你沒有背任何東西。

什麼時候不該這樣問

這個方法有邊界，越界會浪費你的時間。

純粹是約定的東西，不用問為什麼。

某個東西為什麼叫這個名字？

某個檔案格式為什麼是這個副檔名？

某個語言的語法為什麼用這個符號？

這類問題背後常常沒有取捨。

當初換成另一種，也完全可以。

判準很簡單：有取捨的東西才值得問為什麼存在。

如果一個設計沒有付出任何代價，代表它不是為了解決什麼而生的，那就沒有因果可以推，背起來比較快。

還有一個陷阱：合理但不精確的歷史。

因果故事很好講，也很好編。

網路文章、二手轉述、AI 生成的內容，都很擅長給你一個聽起來嚴絲合縫的來龍去脈。

最常見的形式是「某某東西當初是為了 X 而發明的」。

實際情況往往複雜得多——很多設計是好幾個因素湊在一起的結果，或是發明的時候根本沒想到後來那個用途。

判斷方法是：故事讀起來太順的時候，要警惕。

真實的發展過程通常有分歧、有失敗的路線、有當時沒解決的問題。

如果你拿到的版本完美到沒有任何毛邊，它很可能是事後整理出來的。

實務上你可以直接要求對方區分：哪些是有記載的發展過程，哪些是回頭看的合理化解釋。

兩種對學習都有用，但你要知道自己手上拿的是哪一種。

你真正拿到的東西

回頭看密碼和期貨那兩節，會發現一件事：兩次推導出來的結論，其實都不是最值錢的部分。

最值錢的是，你現在能判斷你沒讀過的東西。

看到一條你沒背過的密碼規則，你知道它合不合理。

聽到一個關於期貨的說法，你知道它有沒有違反這套機制的前提。

會這樣，是因為因果結構可以往外延伸，而定義不行。

定義只覆蓋它字面上說的那些，多一寸都沒有。

所以下次你查一個新東西，查完定義還是一片空白的時候，不要重讀第二遍。

那句話已經把它能給的都給你了。

去問它出現之前，人們是怎麼過的。