单个正则验证密码含大小写字母、数字、特殊字符的常见陷阱是使用多前瞻断言（如/(?=.[a-z])(?=.[A-Z]).../）易引发ReDoS，导致PHP进程卡死；应改用strlen()配合多次preg_match()拆解验证，并采用明确转义的ASCII特殊字符白名单，同时前置trim()和校验非ASCII字符。
单个正则验证密码含大小写字母、数字、特殊字符的常见陷阱
直接用 /(?=.*[a-z])(?=.*[A-Z])(?=.*\d)(?=.*[!@#\$%\^&\*]).{8,}/ 看似简洁，但极易触发 ReDoS（正则拒绝服务）。PCRE 引擎在处理多个 (?=.*...) 时，面对超长无效输入（比如 100 个 a）会指数级回溯，PHP 进程卡死或超时。
这不是小概率事件——攻击者只需提交 aaaaaaaaaaaaaaaaaaaaaaaaaaaaaa! 就可能让表单接口瘫痪。生产环境必须规避。
推荐做法：strlen() + 多次 preg_match() 拆解验证
把“必须同时满足”拆成独立判断，逻辑清晰、无回溯风险、错误定位准。
-
strlen($pwd) < 8→ 长度不足 -
!preg_match('/[a-z]/', $pwd)→ 缺小写字母 -
!preg_match('/[A-Z]/', $pwd)→ 缺大写字母 -
!preg_match('/\d/', $pwd)→ 缺数字 -
!preg_match('/[!@#\$%\^&\*]/', $pwd)→ 缺指定特殊字符（白名单明确，不写[\W_]）
每条规则单独执行，时间复杂度 O(n)，且哪个条件失败一目了然。调试时直接 echo 对应提示即可，不用猜正则哪段没匹配上。
立即学习“PHP免费学习笔记（深入）”；
特殊字符白名单怎么选才安全
别用 [\W_] 或 [^\w]——它们会匹配中文标点、全角符号、控制字符，既不可控又易绕过校验。
明确列出可接受的 ASCII 特殊字符，并注意转义：
- 推荐白名单：
[!@#\$%\^&\*\-\_=+\[\]\{\}\|;':",.\/?] - 其中
$、^、*、[、]、{、}、?必须加反斜杠转义 - 连字符
-放在开头或结尾，否则需转义，否则被解释为范围符
如果允许减号或下划线，就显式加进去；不允许，就别放——模糊边界只会增加意外匹配。
中文环境下的空格和 Unicode 问题
用户粘贴密码时容易带首尾空格，trim($pwd) 必须放在所有验证之前，否则 strlen() 和 preg_match() 全部误判。
全角字符（如中文数字「１２３」、中文感叹号「！」）不会被 /\d/ 或 /[!@#]/ 匹配，导致“明明输了却提示强度不够”。解决方案很直接：
- 显式禁止非 ASCII：
if (preg_match('/[^\x20-\x7E]/', $pwd))→ 提示“请勿使用中文或全角字符” - 若真要支持 Unicode 数字，改用
preg_match('/\p{N}/u', $pwd)，但务必加u修饰符，且需确认后端存储、前端输入法、键盘布局都兼容
实际项目中，绝大多数系统应拒绝非 ASCII 密码——它既难输入、难记忆，又增加验证复杂度和兼容性风险。
