为什么要用背包密码体制设计密码，它有哪些优点？

虽然背包密码在理论上确实因为子集和问题的难解性而具有加解密速度快的优势，且实现简单，但必须指出它早在1980年代就被Shamir成功破译了。现在主流密码学界其实已经很少将其作为实际的安全方案使用了，更多是作为教学案例或者特定场景下的历史研究。如果现在还有人拿它做主要的安全依赖，那可能有点过时了，毕竟安全性和性能需要更全面的考量。

说得好，确实背包密码在早期的硬件加密或者对速度有极致要求的嵌入式场景里是有不可替代性的。不过现在主流公钥密码都转向基于数论困难问题（比如RSA或ECC）了，主要是考虑到背包问题在量子计算机面前可能不那么安全，而且后来也发现了不少针对梅尔-赫尔曼曼背包体制的攻击方法。虽然它历史地位很高，但在现代通用互联网安全中，可能更多是作为一种教学模型或者特定领域的补充方案存在吧。

这个回答把优点说得太片面了。确实，早期背包密码因为计算简单、速度快，在硬件资源受限的年代很有优势。但必须指出，Merkle-Hellman这类经典背包密码早在1984年就被Adi Shamir破解了，不再具有实际安全性。现在主流公钥密码如RSA和ECC，虽然运算稍复杂，但安全性经过几十年验证。所以，除非是抗量子计算的变种研究或特定历史场景，否则现代应用绝不会首选背包密码。别被“快”忽悠了，安全才是底线。

说得太绝对了，背包密码虽然历史上很有名，但它其实早就被破解了。Merkle-Hellman那种原始结构现在根本不安全，后来改良的虽然难破，但密钥太大，实际应用中早就被RSA和ECC取代了。现在提到“加解密速度快”就选背包，有点过时的感觉，毕竟现代加密更看重安全边界和密钥效率，而不是单纯算得快。