密码复杂度检查应满足长度≥8位、含大小写字母、数字及明确定义的特殊字符；推荐分项检测而非单正则，兼顾可读性、可维护性与安全性，并需前后端校验一致、提供精准错误提示。
编写密码强制复杂度检查脚本，核心是定义清晰、可验证的规则，并用简洁可靠的方式实现校验逻辑。不依赖外部库、兼顾可读性与实用性，是落地关键。
明确必须满足的复杂度维度
常见且被广泛接受的最小要求包括：长度≥8位、含大小写字母、数字、特殊字符（如 !@#$%^&* 等）。注意避免过度限制（如强制包含两类以上特殊字符），否则会降低用户体验并诱发弱密码绕过行为（例如 Password1! 被反复使用）。
- 长度检查：直接获取字符串长度，建议范围 8–64 位
- 小写字母：正则
[a-z]或字符分类判断 - 大写字母：正则
[A-Z] - 数字：正则
[0-9]或isdigit()类方法 - 特殊字符：明确定义字符集（如
!@#$%^&*()_+-=[]{}|;:,.?），避免使用宽泛的\W（它包含空格、下划线等非预期字符）
用正则或逐字符扫描实现高效校验
单条正则虽简洁但难调试、难扩展；推荐分项检测——逻辑清晰、错误提示精准、便于后续增加规则（如禁止连续重复字符、禁止常见字典词）。
- Python 示例片段：
has_lower = any(c.islower() for c in pwd)has_upper = any(c.isupper() for c in pwd)has_digit = any(c.isdigit() for c in pwd)has_special = any(c in "!@#$%^&*()_+-=[]{}|;:,.?" for c in pwd)- 最后汇总：
if len(pwd) >= 8 and has_lower and has_upper and has_digit and has_special:
集成到用户注册/修改流程中
脚本不能孤立存在。需嵌入实际业务环节，并配合友好反馈：
- 前端做即时校验（减少无效提交），但后端必须重验（防绕过）
- 返回具体未达标项，例如：“密码需包含至少一个大写字母和一个特殊字符”
- 避免暴露系统策略细节（如不提示“必须含两个数字”，防止暴力试探）
- 若用于 Linux PAM 环境，可基于
pam_pwquality.so配置，无需自写脚本
测试边界与常见陷阱
真实环境中易出问题的点要重点覆盖：
- 空密码、全空格、仅特殊字符（如
@@@@@@@）应被拒绝 - Unicode 字符（如中文、emoji）是否允许？若不允许，需在首层过滤或明确报错
- 特殊字符集是否包含反斜杠
\或引号？若用于 Shell 或 SQL 上下文，需额外转义处理 - 性能无压力：单次校验应在毫秒级完成，无需缓存或异步
不复杂但容易忽略的是规则一致性和演进管理——前后端校验逻辑必须完全对齐，策略变更时需同步更新所有环节。
