正向先行断言用于强密码校验，因其不消耗字符位置，可并行检查各类字符存在性而不受顺序限制；需组合小写、大写、数字、特殊字符及长度断言，并配合整体字符范围匹配。

用正向先行断言（(?=...)）做强密码校验，核心是把“必须包含某类字符”这个要求拆成多个独立检查，全部放在开头，互不干扰。

为什么必须用正向先行断言

普通正则匹配是顺序消耗字符的，比如写 [a-z].*[A-Z] 就要求小写字母必须在大写字母前面，实际密码可能反过来，甚至穿插分布。而正向先行断言只“看一眼”，不挪动匹配位置，每个断言都从字符串起始处检查整串是否满足条件——这样就完全不管字符顺序，只管“有没有”。

基础四要素组合写法

同时要求含小写字母、大写字母、数字、指定特殊字符，推荐这样写：

• (?=.*[a-z])：至少一个小写字母
• (?=.*[A-Z])：至少一个大写字母
• (?=.*\d)：至少一个 ASCII 数字（0–9）
• (?=.*[!@#$%^&*()_+\-=\[\]{};':"\|,.?])：至少一个明确列出的特殊字符（避开全角、空格、控制符）
• (?=.{8,})：长度至少 8 位（放最前或最后都可，但别插在中间）
• 结尾补上主体匹配：[a-zA-Z0-9!@#$%^&*()_+\-=\[\]{};':"\|,.?]+$，确保所有字符都在允许范围内

完整表达式示例：
^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)(?=.*[!@#$%^&*()_+\-=\[\]{};':"\|,.?])(?=.{8,})[a-zA-Z0-9!@#$%^&*()_+\-=\[\]{};':"\|,.?]+$

常见增强项怎么加

业务需要更严时，可在同一行继续叠加断言：

• 禁止两个相同字符相邻：(?!.*(.)\1)（注意放最后，且不要和主体匹配冲突）
• 排除常见弱密码模式（如连续数字）：(?!.*123456)(?!.*password)（慎用，易过时）
• 强制至少三类字符（四选三）：(?!(?:[a-z]+|[A-Z]+|\d+|[!@#]+)$) 配合整体范围使用，逻辑更复杂，建议后端分步判断

必须同步做的预处理

正则再准，也救不了脏输入：

• 前端提交前先 .trim() 去首尾空格
• 过滤不可见字符：零宽空格（\u200b）、BOM、控制符（\u0000-\u001f）
• 中文输入法下可能带全角数字/符号，若不允许，需提前转换或拒绝
• Emoji 和生僻 Unicode 字符建议直接拦截，除非业务明确支持

后端不能只信前端正则，仍需用等价逻辑二次校验，尤其是长度、字符分类和不可见字符清理。