测试密码强度网站

打开一个测试密码强度的测试网站，输入“123456”，密码进度条几乎不动，强度红色警告跳出来：破解时间不到一秒。网站换成“P@ssw0rd”，测试进度条往前挪了一点，密码还是强度红色。再试“xK9#mL2$vQ”，网站绿色，测试显示需要几百年。密码这个判断过程本身只需要几毫秒，强度但背后的网站逻辑值得拆开看。

这类网站的测试核心不是真的去暴力破解你的密码。它做的密码事叫“熵值估算”。简单说，强度就是看你的密码用了多大的字符集、有多长、有没有明显的模式。一个只含小写字母的八位密码，字符集是26，组合数是26的8次方，大约2080亿种。听起来很多？现代GPU每秒能算几十亿次哈希，几分钟的事。

我试过十几个不同的测试站，发现它们给出的结果差异不小。同一个密码“Tr0ub4dor&3”，有的网站说“强”，有的说“中等”。原因在于算法不同。有的用zxcvbn这个库，它会识别常见密码、键盘模式、重复字符、日期、名字。你输入“qwerty2024”，它不会傻算字符集，而是直接匹配到“qwerty”和年份，判定为弱。有的网站只做简单的正则判断：有大写、有小写、有数字、有符号，长度超过8，就给“强”。后者其实很粗糙。

有个细节挺有意思。某网站输入框下面有一行小字：“我们不会存储你的密码。”我打开开发者工具看网络请求，确实没有发送到服务器，全部在浏览器本地计算。但另一个网站就不同了，输入时能看到一个POST请求发出去，虽然返回的是强度结果，但密码已经离开了你的机器。所以用这类工具时，最好先断网试试，或者干脆自己写个本地脚本。

再说一个反直觉的事。密码长度比复杂度更重要。一个20位全小写字母的密码，比如“thisisalongpassword”，熵值比8位乱码“aB3$kL9!”还高。因为长度带来的组合爆炸是指数级的。很多网站现在会提示“使用长密码短语”，就是这个道理。但长密码短语也有坑，如果是“iloveyouforever”这种，字典攻击一撞一个准。最好是把不相关的词拼起来，比如“咖啡桌灯泡七”，再加点变形。

我注意到有些测试站会显示“破解时间”的估算，但那个数字依赖假设。假设攻击者用单机CPU、假设用bcrypt哈希、假设有速率限制——换个条件，结果差几个数量级。所以别太当真。它更像一个教育工具，让你直观感受“这个密码很烂”或者“这个还行”。

最后说一个实用建议。别在多个网站用同一个密码，哪怕它被评为“极强”。因为强度测试只评估密码本身，不评估它有没有在别的网站泄露过。Have I Been Pwned这个网站可以查你的邮箱有没有出现在已知泄露库里，配合密码强度测试用，效果更好。测试完，把结果记在脑子里，别截图发朋友圈。