在线密码生成器 - 高强度随机密码批量生成
随机强密码 / 批量生成
助记词 / 口令生成（好记又安全）
由多个随机英文单词拼接而成，比乱码串更好记，词数足够时同样高强度。适合用作主密码、密码管理器解锁码，或需要口述、手写的场景。
密码强度与信息熵对照
密码强度由"长度 × 字符集大小"决定，用信息熵（bit）衡量。下表以"大小写字母+数字+符号"字符集（约 94 个可打印字符）估算：
| 密码长度 | 近似组合数 | 信息熵 | 安全等级 |
|---|---|---|---|
| 8 位 | 约 10¹⁵ | 约 52 bit | 弱 |
| 12 位 | 约 10²³ | 约 79 bit | 中 |
| 16 位 | 约 10³¹ | 约 105 bit | 强 |
| 20 位 | 约 10³⁹ | 约 131 bit | 非常强 |
长度每增加几位，破解难度呈指数级上升。本工具默认生成 16 位、支持最长 1024 位，全部使用密码学安全随机数，生成后可用密码强度检测核对实际熵值。
什么是强密码？如何生成安全的随机密码
强密码通常包含大小写字母、数字和特殊符号，长度不少于12位。本工具使用密码学安全的随机数生成器（crypto.getRandomValues），而非可预测的 Math.random()，确保每个密码都是真正随机的、不可预测的。生成后建议配合密码强度检测工具验证密码安全性。企业环境如需统一管理密码策略，可使用本工具批量生成符合安全规范的密码，再配合UUID生成器为系统创建唯一标识符。日常开发中还可使用Base64编解码对敏感凭证进行编码传输。
密码学原理：crypto.getRandomValues vs Math.random
Math.random() 使用伪随机数生成算法（PRNG），种子基于当前时间等可预测因素，不适合安全场景。crypto.getRandomValues() 从操作系统底层的熵源（如硬件噪声、用户输入时序）获取真随机种子，符合密码学安全标准。本工具所有密码均通过 crypto.getRandomValues 生成，确保：(1) 每个密码不可预测；(2) 两次生成不会出现相同序列；(3) 即使攻击者知道生成算法也无法推算出已生成的密码。生成后所有数据仅存在于浏览器内存中，刷新或关闭页面即销毁。
什么是助记词密码（passphrase / diceware）？
助记词密码用几个随机英文单词拼成一句可读短语，例如 "river-cloud-tiger-music"。它的优势在于：人脑对"几个单词"的记忆远强于"一堆乱码符号"，却能在词数足够时达到很高的信息熵。安全社区（xkcd 936 范式与 diceware 方法）普遍推荐它作为主密码或密码管理器解锁码——因为这类场景更看重"好记且长"，而非"含特殊符号"。
本工具上方提供助记词生成：选择词数（默认 4 词，约 29 bit 熵；6 词约 44 bit）与分隔符即可一键生成。若追求更高强度，可在末尾追加一个数字或符号，或把词数调到 8 以上。需要注意的是，助记词密码的熵来自"词表大小 × 词数"，因此请使用本工具这类基于密码学安全随机数的生成器，而不要凭自己"想"几个词——人想的词往往可预测。
如何使用本工具生成安全密码
调节密码长度滑块设置期望的位数（推荐 16 位以上），勾选需要包含的字符类型（大写字母、小写字母、数字、符号），可点击符号按钮自定义允许的特殊字符。在"排除易混淆字符"输入框中填入不希望出现的字符（如 0OIl1），设置一次生成的密码数量，点击"生成密码"即可批量生成强密码，支持逐条复制或一键复制全部。
不同场景的密码怎么生成
生成密码前先想清楚"用在哪"：给谁用（人记还是机器用）、输在哪（键盘还是电视遥控器）、泄露后果多严重，决定了长度和字符组合的选择。下表是常见场景的推荐配置：
| 使用场景 | 推荐长度 | 字符组合 | 说明 |
|---|---|---|---|
| WiFi 密码 | 16-20 位 | 字母+数字 | 电视、IoT 设备对特殊符号兼容性差 |
| 网站 / APP 账号 | 16 位以上 | 大小写+数字+符号 | 每个账户独立密码，杜绝复用 |
| 服务器 / SSH | 20-32 位 | 大小写+数字+符号 | 优先密钥认证，密码作兜底 |
| 数据库 / 中间件 | 24-32 位 | 大小写+数字+符号 | 存于配置文件，无需人记 |
| API 密钥 | 32 位以上 | 字母+数字 | 机器调用，越长越好 |
WiFi 密码怎么生成？多少位合适？
WPA2/WPA3 预共享密钥允许 8-63 位，建议 16-20 位字母加数字组合即可有效防蹭网。生成时建议取消勾选"符号"：智能电视、打印机等设备用遥控器输入特殊符号非常麻烦，且部分老设备对符号的编码处理不一致，容易出现"密码明明对的却连不上"的问题。在上方工具中勾选大小写字母+数字、长度设为 16-20，生成后填入路由器管理后台即可。
服务器 / SSH 密码多长安全？
服务器直接暴露在公网，是暴力破解和字典攻击的首要目标，建议 20-32 位四类字符全开。更重要的实践是：SSH 登录优先使用密钥认证（如 ed25519），把密码仅作为控制台兜底；同时禁用 root 直接登录、配合 fail2ban 类工具限流。本工具生成 32 位密码后，可批量生成几组分别用于 root 与普通运维账户。
API 密钥和密码有什么区别？
密码是"人认证"，需要兼顾记忆与输入；API 密钥是"机器认证"，由程序自动携带，完全不需要考虑好记。因此 API 密钥可以也应该更长——32 位起步，且无需包含符号（多数服务仅允许字母数字）。正式项目中的密钥通常由服务方直接颁发；若需自建内部系统的随机凭证，可用本工具生成 32 位字母数字组合，或用UUID生成器生成全局唯一标识。密钥泄露影响范围取决于权限设计，建议最小权限+定期轮换。
手机上怎么使用生成的密码？
手机浏览器打开本工具同样在本地生成（工具不依赖电脑环境），生成后长按复制，粘贴到注册页即可。更省心的方式是配合密码管理器 App（Bitwarden、1Password 等）：在电脑上生成密码直接存入管理器，手机上自动同步填充，避免在手机小键盘上输入长密码的痛苦。iOS 和 Android 的剪贴板都会在一段时间后自动清空，复制粘贴不会长期留痕。
为什么不能自己编密码
"123456"、"password"、生日加姓名拼音——这类"人编密码"常年出现在泄露数据库的最常用密码排行榜前列。攻击者的字典攻击正是利用了这一点：先把历史泄露的数亿个真实密码做成字典，再把你社交资料里的生日、姓名、手机号做排列组合，普通人的"自创密码"几秒内就会被穷举出来，看似复杂实则毫无随机性可言。真正安全的密码必须由密码学安全随机数生成——没有模式、没有偏好、不可预测，这正是本工具使用 crypto.getRandomValues 的原因。想知道自己现在用的密码有多弱，可以拿到密码强度检测工具里测一测。
密码安全常见问题
密码多少位才安全？
一般建议至少 12 位，重要账户建议 16 位以上。密码越长，暴力破解所需时间呈指数级增长。本工具默认长度 16 位，支持最长 1024 位。
生成的密码会被保存或泄露吗？
不会。本工具所有密码生成均在浏览器本地完成，使用 crypto.getRandomValues 密码学安全随机数（非 Math.random），不会上传或存储您的任何密码。
为什么密码需要包含大小写字母、数字和符号？
字符种类越多，密码的可能组合数就越大。仅用小写字母 16 位约有 4×10²² 种组合，加入大写、数字和符号后可达 10³² 种以上，破解难度大幅提升。
什么是易混淆字符？为什么要排除它们？
易混淆字符指视觉上相似的字符，如数字 0 和字母 O、数字 1 和字母 l。手动输入密码时容易分辨不清，排除后可以避免输错密码的麻烦。
随机密码记不住怎么办？
建议使用密码管理器（如 Bitwarden、1Password）自动保存和填充。也可以在本工具生成密码后配合密码本或加密笔记存储，切勿在多个账户重复使用同一密码。
企业内网密码策略应该怎么设置？
推荐设置密码长度不低于 12 位，要求包含大小写字母、数字和符号四类中的至少三类。定期更换周期建议 90 天，使用本工具批量生成符合策略的随机密码分发给员工，配合密码强度检测工具验证密码质量。
不同网站用同一个密码有什么风险？
风险极高。一旦其中一个网站数据泄露，攻击者会用泄露的密码尝试登录您的其他账户（凭证填充攻击）。建议为每个重要网站设置不同的随机密码，本工具可一次性批量生成多组互不相同的强密码，为每个账户提供独立保护。
密码多久需要更换一次？
普通个人账号建议每 3–6 个月更换一次；涉及资金或敏感数据的账号（网银、邮箱、密码管理器本身）建议 90 天更换并启用两步验证。更重要的是"不同网站不重复使用同一密码"——配合本工具批量生成互不相同的强密码，比单纯频繁改密码更能抵御凭证填充攻击。若想量化强度，可用密码强度检测工具核对信息熵。
助记词密码（passphrase）是什么？比随机密码好记吗？
助记词密码（又称口令、passphrase、diceware 风格）由多个随机英文单词用连字符或空格拼接而成，例如 "river-cloud-tiger-music"。它把一个超长难记的随机串换成几个可读单词，记忆负担大幅下降，而词数足够时熵值同样很高。本工具提供助记词生成：选择词数与分隔符即可一键生成，适合用作主密码、密码管理器解锁码或需要口述/手写的场景。
生成的密码符合什么安全标准？
本工具使用浏览器 crypto.getRandomValues 密码学安全随机数生成密码与助记词，不依赖可预测的伪随机算法；默认 16 位、字符集覆盖大小写字母、数字与符号，符合 NIST SP 800-63B 与 OWASP 认证口令指南对"足够长且不可预测"的要求。所有生成均在本地完成，不上传、不存储，也不通过任何网络传输，可放心用于注册与密码更换。
WiFi 密码用什么字符组合比较好？
建议 16-20 位大小写字母加数字、不含符号。WPA2/WPA3 协议本身允许 8-63 位，但智能电视、打印机、IoT 设备对特殊符号的输入和编码兼容性差，纯字母数字组合最稳妥。在本工具中取消勾选"符号"、长度设为 16-20，生成后填入路由器管理后台即可，防蹭网强度远超 8 位纯数字。
服务器和数据库密码应该怎么设置？
服务器直接暴露在公网，建议 20-32 位四类字符全开，SSH 优先使用密钥认证、密码仅作控制台兜底；数据库与中间件密码建议 24-32 位，存于配置文件由程序读取，无需人记。可以用本工具的批量生成一次产出多组，分别用于 root、运维账户和数据库，互不重复。