什么样的密码才算强密码？
强密码通常需要足够长、足够随机，并且不要和个人信息有关。相比“P@ssw0rd123”这种看似复杂但很常见的写法，随机生成的 16 位以上密码更难被猜测或暴力破解。建议混合数字、小写字母、大写字母和特殊字符，并避免使用生日、手机号、姓名拼音、公司名等可被推断的信息。
crypto.getRandomValues 安全随机生成，不会上传服务器，刷新页面即丢失。衡量的不是「看起来乱不乱」，而是猜完所有可能性需要多少次尝试。可选字符越多、位数越长，这个数字涨得越快：只用数字，每多一位可能性乘以 10；用上大小写字母和数字，每多一位乘以 62。所以加长度几乎总是比加花样有效——12 位纯字母数字的组合数，已经远远超过 8 位塞满特殊字符的写法。真正拉低强度的是可预测性：Password1! 形式上四类字符齐全，却排在所有字典的前几行。
本来就不该靠记。合理的做法是把随机密码交给密码管理器保管，浏览器自带的也够用，你只需要记住一个用来解锁它的主密码。这个主密码可以用几个不相干的词拼成的长口令，比如四五个随机名词连在一起，既长又好记，比一串符号可靠得多。真正需要人工输入的只有开机密码、主密码和二步验证的备用码，其余交给管理器自动填充。
把一个「强密码」用在所有网站，等于把安全性交给其中最弱的那一家——任何一处泄露，撞库脚本会立刻拿它去试你的邮箱和网盘。在旧密码后面加数字轮换（abc2024 换成 abc2025）同样无效，泄露库里有上一版，猜出下一版只需要几次尝试。把姓名拼音、生日、手机号做替换（把 a 写成 @、o 写成 0）在密码字典里早有对应规则，并不增加多少难度。写在便利贴、聊天记录收藏或明文表格里，则是把风险从破解转移到了泄露。
还有一层常被忽略的风险在网站那边：不少站点存的并不是明文，而是密码的 MD5 值，可这挡不住多少事——常见口令的 MD5 早就被整理成表，泄露之后一查即得。你无法决定对方怎么存，能决定的只有自己那一串够不够随机。
第一，立刻存进密码管理器，别指望等会儿再补，刷新页面这里就不留痕迹了。第二，给邮箱、支付、云盘这些关键账号开二步验证，它能在密码泄露之后挡住绝大多数登录尝试。第三，收到某网站数据泄露的通知时，只换那一家的密码就够了——前提是你本来就没有重复使用。
强密码通常需要足够长、足够随机，并且不要和个人信息有关。相比“P@ssw0rd123”这种看似复杂但很常见的写法，随机生成的 16 位以上密码更难被猜测或暴力破解。建议混合数字、小写字母、大写字母和特殊字符，并避免使用生日、手机号、姓名拼音、公司名等可被推断的信息。
人类习惯使用有规律的词、日期、键盘排列或少量替换符号，这些模式很容易被密码字典和撞库工具利用。随机密码没有明显语义和规律，攻击者无法通过常见词表快速命中，因此更适合邮箱、云服务、后台系统、数据库账号等重要场景。
普通网站账号建议至少 12 位；重要账号建议 16 位或更长。如果网站允许，支持生成最长 64 位的随机密码。密码越长，暴力破解所需时间通常呈指数级上升，因此增加长度往往比只增加一两个特殊字符更有效。
建议每个网站、App 或系统都使用不同密码。这样即使某一个网站发生数据泄露，攻击者也无法拿同一个密码去登录你的邮箱、网盘、支付、服务器等其他账号。随机密码最好配合密码管理器保存，不建议靠记忆重复使用同一套密码。
不会。密码生成过程完全在浏览器本地完成，页面使用浏览器提供的 crypto.getRandomValues 生成随机数，不会把生成结果上传到服务器，也不会在页面中长期保存。刷新页面后，当前生成结果就会消失。
特殊字符可以增加字符空间，但并不是越多越好。有些网站、路由器或旧系统对特殊字符支持不一致，可能导致复制、粘贴或登录失败。实际使用时可以先确认目标系统允许哪些字符，再在工具中自定义特殊字符集合。
排除字符适合去掉容易混淆或目标系统不支持的字符。例如 i、I、l、1、o、O、0 在某些字体中很难区分；部分系统也可能不接受引号、空格、反斜杠等字符。通过排除字符可以让密码更容易人工录入，同时保留足够的随机性。
可以。你可以根据不同场景调整长度和字符集：Wi-Fi 密码通常可以设置得更长；服务器、数据库、后台系统建议使用高强度随机密码；API Key 如果有固定格式要求，则应以对应平台生成规则为准。