Spring Boot密码强度校验应采用正则初筛+逻辑评分+自定义注解的组合方案：用@Pattern过滤常见弱序列、@Size控制长度，再通过可配置的多维度评分（长度、大小写、数字、符号、重复字符）判定强度等级，并封装为@PasswordStrength注解集成Validation流程。
Spring Boot 中对密码这类敏感参数做强度校验，不建议只靠单一正则“一锤定音”，尤其不能用一个正则硬塞所有规则（比如同时要求大小写、数字、符号、长度、非重复）。真正实用的做法是：用正则做快速初筛 + 逻辑判断做分级评分，再结合 Spring Validation 做声明式约束与错误提示。
用正则做轻量级预检，不是主力校验
正则适合拦截明显弱密码，比如全数字、连续重复、常见键盘序列等。它响应快、写法简洁，但不适合动态打分或复杂组合逻辑。
- 例如，在 DTO 字段上加
@Pattern(regexp = "^(?!.*123|.*abc|.*qwe).{8,}$", message = "密码不能含常见弱序列")，提前过滤掉12345678或qwertyui - 再配一条
@Size(min = 8, max = 32)控制长度边界，避免超长输入引发性能问题 - 注意 Java 字符串转义：正则中的
[!@#$%]要写成"[!@#$%]"；若含-，放在字符集开头或结尾更安全，如"[-!@#]+"
用 Java 逻辑实现可分级的强度评分
把密码强度拆成多个独立维度，每项单独计算得分，最后加权汇总。这样既能支持“8分合格、12分强密码”的分级策略，也方便后续扩展（比如加“禁止生日年份”规则）。
Alibabacloud Sdk Client Initialization For Java
下载
在 Java 中初始化和管理阿里云 SDK客户端。包括单例模式、线程安全、endpoint 与 region 配置、VPC 终端节点、同步与异步等。
- 长度分：8–10位得2分，11–14位得3分，≥15位得4分（避免线性增长）
- 大写/小写/数字/符号各设独立检查，每项达标+1分（用
Character.isUpperCase()等逐字符扫描，比正则更稳定） - 重复字符扣分：遍历字符串，检测连续相同字符 ≥3 次，每次扣1分
- 分数阈值可配置：合格线设为 6 分，强密码线设为 10 分，通过常量定义，不硬编码
集成到 Spring Validation 流程中
把评分逻辑封装成自定义注解，让校验既保持声明式风格，又具备业务灵活性。
- 定义注解
@PasswordStrength(level = Level.STRONG)，level 枚举表示“基础/合格/强”三档 - 实现
ConstraintValidator<PasswordStrength, String>，内部调用评分服务并比对阈值 - 在 DTO 中使用：
@PasswordStrength(level = Level.STRONG, message = "密码强度不足，请包含大小写字母、数字和符号") - Controller 方法参数加
@Valid，失败时自动抛出ConstraintViolationException，由全局异常处理器统一返回带提示的 JSON
前后端协同避免敏感信息暴露
后端只负责校验逻辑，不参与密码明文传输或展示。前端应在用户输入时实时反馈强度等级（如“弱/中/强”色块），但不要把具体规则（如“必须含符号”）直接暴露在接口文档或错误消息里，防止被恶意探测。
- 后端返回的错误消息要泛化，比如统一说“密码强度不符合要求”，而不是“缺少特殊字符”
- DTO 中密码字段加
@JsonIgnore或使用专用 VO 类，确保查询用户列表时不返回 password 字段 - 注册/修改密码接口只接收密码，不返回任何密码相关字段，也不在日志中打印明文
