密码强度校验应采用组合标准：长度≥8，且必须同时含大写字母、小写字母、数字和非字母数字字符；用std::isupper()等标准函数一次遍历判断，避免硬编码与正则，返回缺失项提示而非简单布尔值。
密码强度校验该用什么标准？
没有统一的“安全密码”定义，但主流做法是组合检查：长度、大小写字母、数字、特殊字符缺一不可。别只看 std::string::length()，否则用户输一串“aaaaaa”也能过关。
- 最低长度建议设为 8，低于这个值直接拒绝
- 必须同时存在至少一个大写、一个小写、一个数字、一个非字母数字字符（如
!@#$%^&*） - 避免硬编码字符集，用
std::isupper()、std::isdigit()等 C++ 标准库函数判断更可靠 - 不要用正则——C++11 的
std::regex在某些编译器（如 MinGW）上性能差、兼容性烂，还容易抛异常
怎么写一个不依赖第三方库的校验函数？
用布尔标记 + 一次遍历就够了，时间复杂度 O(n)，不用反复调 find_first_of()。
bool isStrongPassword(const std::string& pwd) {
if (pwd.length() < 8) return false;
bool hasUpper = false, hasLower = false, hasDigit = false, hasSpecial = false;
for (char c : pwd) {
if (std::isupper(static_cast<unsigned char>(c))) hasUpper = true;
else if (std::islower(static_cast<unsigned char>(c))) hasLower = true;
else if (std::isdigit(static_cast<unsigned char>(c))) hasDigit = true;
else if (!std::isalnum(static_cast<unsigned char>(c))) hasSpecial = true;
}
return hasUpper && hasLower && hasDigit && hasSpecial;
}
-
static_cast<unsigned char>是必须的——否则传入负值 char（如某些 locale 下的字节）会触发std::isxxx的未定义行为 - 注意
!std::isalnum()比枚举所有特殊字符更健壮，能覆盖 Unicode 符号（只要 locale 支持） - 如果业务要求禁止常见弱密码（如 “password”、“123456”），得额外加白名单比对，不能塞进这个函数里混着做
用户输错时怎么反馈才实用？
只返回 false 不够，得告诉用户缺什么。但别一次性列全四条——比如用户只缺数字，却显示“长度不够/无大写/无数字/无符号”，会让人困惑。
- 逐项检查，遇到第一个失败就停，返回对应提示，例如：
"密码至少需包含一个数字" - 或者返回位掩码（如
enum class PasswordCheck { Length=1, Upper=2, Lower=4, Digit=8, Special=16 }），让调用方自己决定展示粒度 - 别在控制台用
std::cout << "密码太弱！"就完事——GUI 或 Web 后端需要结构化错误，建议用std::vector<std::string>收集缺失项
为什么不能把校验逻辑放在前端或客户端？
前端 JS 校验只是体验优化，isStrongPassword() 必须在服务端 C++ 代码里再跑一遍。攻击者绕过前端太容易了。
立即学习“C++免费学习笔记（深入）”；
- 哪怕你用了 HTTPS，也不能信客户端传来的任何字符串——中间人可能篡改请求体，或直接用 curl 发包
- 如果密码还要参与哈希（如
bcrypt），校验必须在哈希前完成，否则无效输入会浪费 CPU 做哈希计算 - 某些场景（如嵌入式设备）连完整 C++ 标准库都不带，
<cctype>也得确认是否可用；这时候得手写 ASCII 范围判断，而非依赖std::isupper
真正麻烦的是多语言环境下的字符判定——比如中文标点算不算“特殊字符”？这取决于产品策略，不是技术能自动解决的。得提前和产品对齐，而不是写完才发现需求变了。
