| 场景 | 建议长度 | 强度参考 |
|---|---|---|
| 普通网站账号 | 12 位以上 | 大小写+数字 |
| 邮箱 / 云盘 | 16 位以上 | 四类字符全开 |
| 支付 / 服务器 | 20 位以上 | 四类字符全开 + 定期更换 |
"123456""qwerty""生日+手机号"常年霸榜最弱密码——撞库和暴力破解几秒钟就能攻破。安全的密码需要足够的长度和随机性，而人脑想出来的"随机"往往有规律可循。
这个工具用浏览器内置的加密级随机源（crypto.getRandomValues）生成密码，可自定义长度（6~64 位）和字符类型，支持排除 0/O、1/l/I 这类易看混的字符，并实时评估密码强度（熵位数）。全部计算在你的浏览器本地完成，不联网、不上传、不存储。
注册新站、给数据库设密码、帮爸妈设一个能记住又不太弱的密码——比「想一个复杂密码」更靠谱的做法，是用生成器加密码管理器。
长度优先于复杂度：16 位随机密码的熵约为 log2(94¹⁶) ≈ 105 位，暴力破解不现实；四类字符全开的 12 位约 78 位熵，也够用；避免 l/1/I、0/O 这类易混字符，抄写时少出错；每个站点用不同密码。
把密码存进微信收藏、备忘录明文，等于没设密码；定期「改密码」不如「每个站点不同」；不要用生日、手机号、公司名做密码，这些在社工库里排最前；生成后先确认目标网站支持的长度和字符。
用浏览器 crypto.getRandomValues 生成，不用 Math.random；生成过程不发网络请求，页面关闭即消失；强度条按信息熵估算，不玩「红黄绿」的模糊话术。