HTML表单的pattern属性仅支持基础格式校验且无实时反馈，强密码校验必须用JavaScript拆解规则逐项检测，后端重复校验才是安全防线。
HTML表单里不能直接用正则校验强密码
HTML 的 pattern 属性确实支持正则，但仅用于基础格式检查，且不触发实时强度反馈。它不会告诉你“缺少大写字母”，只会提交时抛出 Constraint validation failed 这类模糊提示。真要实现强密码校验（比如：8位以上、含大小写字母、数字、特殊字符），必须配合 JavaScript。
用 pattern 做最低限度的前端拦截
如果你只要求「提交前拦住明显不合格的密码」，pattern 可以快速兜底，但正则得写对——常见错误是用 ^.*[A-Z].*$ 这种看似合理实则无效的写法，它只保证「存在一个大写字母」，却不强制其他条件同时满足。
- 正确写法是用多个正向先行断言（
(?=.*[a-z])(?=.*[A-Z])(?=.*\d)(?=.*[\W_])），再加长度限制：^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)(?=.*[\W_]).{8,}$ - 注意：
[\W_]比[^a-zA-Z0-9]更稳妥，能覆盖下划线和 Unicode 符号（如中文输入法下的全角符号可能意外绕过校验） -
pattern不校验空格，如果业务不允许空格，得额外加[^\s]到主体部分
JavaScript 实时校验比 pattern 有用得多
用户输密码时就该知道哪条规则没满足，而不是等点提交才报错。关键不是写一个大正则，而是拆解规则、逐项检测。
Article To Html
下载
文章转信息图。将文章/笔记转化为手机可读的 HTML 信息图，自动匹配视觉风格。触发场景：文章转图、笔记转图、信息图、转小红书图、做张图、可视化这篇文章、文生图。
- 监听
input事件，对value分别测试：/[a-z]/.test(pwd)、/[A-Z]/.test(pwd)、/\d/.test(pwd)、/[\W_]/.test(pwd) - 长度用
pwd.length >= 8判断，比正则更直观、无歧义 - 避免用
.match()或.search()处理空字符串或 null，先做if (!pwd)短路判断 - 正则中的
\W在某些旧版 Safari 中对 emoji 行为不一致，若需兼容，改用[^a-zA-Z0-9\s]显式排除
后端才是真正的防线，前端只是体验优化
所有前端校验都可被绕过。哪怕你 JS 里写了十层正则，用户禁用 JS 或用 curl 提交，照样能发任意字符串。所以：
立即学习“前端免费学习笔记（深入）”；
- 后端必须用服务端语言（如 Python 的
re.fullmatch()、Node.js 的RegExp.test()）重新校验同一套规则 - 不要在前端暴露完整规则逻辑（比如把「必须含 2 个特殊字符」写死在 JS 里），否则容易被逆向推导出业务策略
- 密码哈希前，建议再调一次服务端校验——因为前端传来的
pattern或 JS 结果，可能已被篡改
最常被忽略的一点：正则本身不是安全边界，它只是格式筛子；真正防爆破靠的是速率限制、验证码、密码哈希加盐，而不是让正则多匹配一个符号。
