速查在线工具箱密码强度检测说「很强」，就真的安全吗？
它只在核对你有没有满足规则，不会知道你这条是否已出现在泄露库里。
因为大多数强度条在做的，是核对一串早就被淘汰的规则。传统口令策略要求「至少八位、大小写数字符号都要有、每九十天换一次」，这套规则写出来的人后来公开表示后悔——因为它逼出了 Summer2024! 这类人人可猜的构造，而换密码又变成了在末尾加个数字。NIST 从 2017 年起就建议放弃复杂度要求和定期强制轮换。
真实强度接近的指标是长度和信息量。以熵来衡量，八位纯数字只有约 26.6 比特，八位大小写加数字约 47.6 比特，而十六位纯小写就有约 75.2 比特——比混排的短密码强得多。更重要的是，强度条几乎都不会去查你这串口令是否已经出现在公开泄露库里：如果它已经泄露过，无论熵多高，攻击者拿现成字典一试就中。NIST 真正看重的那一项，恰恰就是这个泄露库筛查。
注册网站时看着进度条从「弱」一路涨到「很强」，会本能地觉得放心。但这根进度条并不了解你的密码是否安全，它只知道你刚才有没有按照它的规则敲字符。
搞清楚它在算什么，才知道该信到什么程度。这一篇只讲「怎么理解检测结果、怎么选一串真正难猜的密码」，不涉及任何具体站点的安全策略建议。
1强度条通常在算什么
它检查的是构造规则，而不是你这串口令的实际不可猜程度。
| 它看得到 | 它看不到 | 差距在哪 |
|---|---|---|
| 长度够不够 | 是否出现在泄露库里 | 泄露过的口令，长度再长也白搭 |
| 有没有混排大小写数字符号 | 你是不是把 a 换成了 @、o 换成了 0 | 这类替换是字典工具的标准配置 |
| 是不是纯数字或纯字母 | 是不是键盘相邻键或常见句式 | qwerty、1qaz2wsx 都能通过一部分规则 |
| 有没有重复字符 | 有没有引用你熟悉的词（名字、球队、生日） | 个人信息类口令是社会工程的第一顺位目标 |
一个实用判断：如果这串密码你自己觉得「好记」，那它对别人来说往往也「好猜」。
2长度和字符集，各自值多少
熵的算法是「长度乘以每个字符的信息量」，算一遍就知道该往哪加。
| 字符集 | 长度 8 | 长度 12 | 长度 16 |
|---|---|---|---|
| 纯数字（10） | 26.6 比特 | 39.9 比特 | 53.2 比特 |
| 纯小写字母（26） | 37.6 比特 | 56.4 比特 | 75.2 比特 |
| 大小写加数字（62） | 47.6 比特 | 71.5 比特 | 95.3 比特 |
| 全部可打印字符（95） | 52.6 比特 | 78.9 比特 | 105.1 比特 |
一眼看出重点：把长度从 8 加到 16，比把字符集从 26 扩到 95 更划算，而且更好记。
3怎么做才算真的强
按 NIST 的思路，重点是长度、筛查和唯一性，而不是构造得多花哨。
- 优先加长度
- 十几位以上的词组式口令既好记又有足够熵，比八位的花式符号组合强得多，也更容易敲对。
- 避开已泄露的口令
- 在设置密码时先查一下它是否出现在公开泄露库里；用过一次的口令，无论多长都不该再用。
- 每个站点都不同
- 重复使用的问题不在于密码弱，而在于一处泄露会连带其他所有账号，这是撞库攻击的前提。
- 别定期强行更换
- 没有泄露迹象时定期换密码，只会让你在末尾加数字或者循环用旧口令，实际安全性反而下降。
- 交给密码管理器
- 让它生成并保存随机长口令，你只需要记住一个主密码，这是目前最省力也最稳妥的做法。
顺着这个问题往下用
全部工具总览 →相关疑问
提示「很强」的密码一定能用吗？
不一定。强度条只核对了构造规则，不检查这串口令是否已经泄露。如果它在泄露库里，即便是很长的混排字符串也可能被现成字典直接命中——这类口令在检测器眼里依然「很强」。
多久需要换一次密码？
按 NIST 的建议，在没有泄露迹象时不强制定期更换；一旦确认或怀疑泄露，才立即更换。定期轮换会把人逼向「末尾加数字」这类可预测的改法，收益很小。
把字母换成特殊符号会更安全吗？
提升有限，而且容易形成可预测的模式：a 换 @、o 换 0、s 换 $ 都是字典工具的常规替换表。在长度足够的前提下，它带来的额外难度远小于多写几个字符。
密码短语比随机字符串差吗？
不差，只要长度够。几个不相关的词拼起来、总长度在十五位以上，熵值通常比八位的随机符号组合更高，而且好记得多，这正是 NIST 建议接受空格与长口令的原因。
继续看：相关问题与资料
全部问题解答 →内容说明：本页针对具体使用问题作答，方法步骤与数值由本站自行整理与复算，事实性内容以对应官方规范与文档为准。内容最后核对日期：2026-10-09。若发现错误，欢迎通过页脚反馈入口告知。