常见问题

我的密码会被上传吗？

不会。zxcvbn 库完全在你的浏览器中运行。你的密码永远不会发送到服务器，不会被记录，也不会被存储。

zxcvbn 与简单的正则检查有何不同？

正则只检查包含哪些字符类型。zxcvbn 模拟真实攻击者的猜解方式——它会惩罚词典单词、键盘规律、日期、重复和 l33t 替换。这就是为什么 "P@ssw0rd!" 看起来复杂却得分很低。

什么样的评分算好？

评分 3 是重要账号的最低要求。评分 4 推荐用于邮箱、银行和密码管理器。评分 0–1 绝不应当使用。

什么是熵值，为什么重要？

熵值衡量攻击者需要多少次猜测。40 位的密码可以很快被暴力破解；80 位对大多数用途足够强；100 位以上对密码来说过于充裕，但密码短语常见。

长度比符号更重要吗？

是的。每多一个字符，搜索空间就翻倍；把 "a" 换成 "@" 只能抵御幼稚的词典攻击。20 位的密码短语胜过 10 位的乱码组合。

可以在真实密码上使用本工具吗？

可以——你的密码不会离开页面。但不要把你正在使用的密码粘贴到任何不能做出相同保证的在线工具中。

在线和离线破解时间有什么区别？

在线攻击通过登录表单进行，通常每秒仅限几次猜测。离线攻击假设攻击者窃取了数据库哈希，能在 GPU 上每秒测试数十亿次。本工具报告的是离线场景，即最坏情况。

它会检查已知泄露的密码吗？

核心 zxcvbn 库不查询泄露数据库。它内置了 30,000+ 常见密码列表并惩罚这些密码。要检查是否泄露，可单独使用 Have I Been Pwned 的 k-匿名 API。