移动端/Web应用密码强度计算：通用规范、API/Library及Algorithm问询

有没有通用规范？ #

没有强制统一的官方规范，但行业有共识性的评估维度和参考标准：

• 核心评估维度基本包括：密码长度、字符多样性（大写字母、小写字母、数字、特殊符号的组合）、是否属于常见弱密码库（比如123456、password这类）、是否包含重复/连续字符（比如aaaaa、123456）。
• 像NIST（美国国家标准与技术研究院）发布的密码指南，虽然没直接定义"Weak/Medium/Strong"的划分，但给出的密码创建建议（比如避免常见弱密码、推荐足够长度）是多数强度评估逻辑的参考依据。

常用算法 #

目前主流的两种实现思路：

• 基于规则的评分算法：给不同特征赋值加分/扣分，比如长度≥8加10分，包含特殊字符加15分，匹配弱密码扣50分，最后根据总分划分等级（比如0-30分Weak，30-60分Medium，60+分Strong）。
• 信息熵计算：通过密码的字符集大小和长度计算熵值，熵值代表密码的随机程度，一般熵值<30为弱，30-60为中等，>60为强。比如纯数字6位密码熵值约20，混合大小写+数字+特殊符号的12位密码熵值能超过70。

现成的库/API #

有不少成熟的开源库可以直接复用，不需要从零实现：

• 前端常用zxcvbn：它会结合常见弱密码字典、用户输入的模式（比如生日、键盘连续字符）来评估强度，返回具体得分和等级，准确性较高。
• 后端语言也有对应工具：比如Python的password-strength库、Java的安全工具包中也有封装好的密码强度校验模块。
• 移动端也有移植版本：Android和iOS平台都有基于zxcvbn逻辑的第三方库，能快速集成到APP中。

独立实现的情况 #

确实有不少开发者会自己实现简单的校验逻辑，比如只检查长度和字符种类组合。这种方式适合对安全性要求较低的场景，但容易出现误判——比如Password123满足长度和字符多样性，但属于典型弱密码，简单的自定义逻辑可能会误判为中等强度。

内容的提问来源于stack exchange，提问作者Eli