强密码正则需用多个正向先行断言确保同时包含小写字母、大写字母、数字和指定特殊字符，并用^$锚定及.{8,16}控制长度，避免仅限字符范围或遗漏首尾锚点。

用正则表达式验证强密码，核心是确保密码同时满足多个“必须包含”的条件，而不是只限制字符范围。关键不在写得长，而在逻辑清晰、可维护、易调试。

基础结构：用正向先行断言组合条件

所有主流语言（JS、Python、C#、Java）都支持 (?=.*[a-z]) 这类写法，它不消耗字符，只做“检查”——就像站在门口挨个确认：“有没有小写字母？有。有没有大写字母？有。有没有数字？有……”

• 小写字母：(?=.*[a-z])
• 大写字母：(?=.*[A-Z])
• 数字：(?=.*d) 或 (?=.*[0-9])
• 指定特殊字符：(?=.*[@$!%*?&])（白名单更安全，避免误判空格或换行）
• 长度控制：.{8,16} 放在最后，表示整体匹配长度；若只要求最小长度，用 .{8,}

完整示例与常见变体

一个兼顾安全性与实用性的通用表达式：

^(?=.*[a-z])(?=.*[A-Z])(?=.*d)(?=.*[@$!%*?&]).{8,16}$

说明：

• ^ 和 $ 锚定首尾，防止匹配子串（比如 "abc123" 里混进 "123" 就误通过）
• 所有 (?=...) 必须全部成立，才进入最终长度匹配
• 末尾的 .{8,16} 不限定字符类型，所以前面必须靠先行断言兜底

如需禁止连续重复字符（如 "aa"、"11"），追加负向断言：(?!.*(.)
)，完整写法：

^(?=.*[a-z])(?=.*[A-Z])(?=.*d)(?=.*[@$!%*?&])(?!.*(.)
).{8,16}$

不同语言的注意事项

同一正则，在不同语言中写法略有差异，主要是转义和 API 调用方式：

• JavaScript：直接写成字面量，/^(?=.*[a-z])...$/，用 .test()
• Python：用 re.match(pattern, pwd)，注意 raw 字符串前加 r 避免反斜杠被转义
• C#：字符串中反斜杠要双写，如 @".*\d"；推荐用 Regex.IsMatch(pwd, pattern)
• Java：同 C#，需双反斜杠；若性能敏感，可预编译正则对象并静态复用

别踩这些坑

看似简单的正则，实际容易出错：

• 只写 ^[A-Za-z0-9@]{8,}$ —— 这只校验字符是否在范围内，不保证大小写、数字、符号全都出现
• 漏掉 ^ 或 $ —— 可能匹配到部分字符串，导致 "aaa123456789" 因含数字就通过，其实全是小写
• 特殊字符写成 W —— 它会匹配空格、制表符、下划线等，业务通常只要明确几个符号，白名单更可控
• 前端校验当终点 —— 必须在服务端用相同逻辑再验一次，前端可绕过