如何选择安全的在线密码生成器？
每天都有网站被拖库，密码泄露成了家常便饭。选择一个可靠的 密码生成器 是保护账户安全的第一步。但市面上的密码生成器五花八门，怎么判断哪个安全？
在线密码生成器安全吗？
很多人担心"在线"密码生成器会不会偷偷把我的密码上传到服务器？这个担心很合理。
关键看它是前端生成还是后端生成：
- 前端生成（安全）：密码在浏览器中通过 JavaScript 生成，不需要网络请求，数据不会离开你的设备
- 后端生成（有风险）：密码在服务器端生成后返回给你，服务器知道你生成了什么密码
DevUtils 的密码生成器 是纯前端方案，密码在浏览器本地生成，不会被发送到任何服务器。
好密码的三个标准
1. 长度足够
密码长度是安全性的第一要素。根据现代计算能力：
| 密码长度 | 纯数字 | 大小写+数字 | 大小写+数字+符号 |
|---|---|---|---|
| 8 位 | 瞬间破解 | 几小时 | 几天 |
| 12 位 | 几秒 | 几年 | 几十年 |
| 16 位 | 几分钟 | 几千年 | 几乎不可能 |
| 20 位 | 几小时 | 基本不可能 | 不可能 |
建议：最少 16 位，重要账户用 20 位以上。
2. 字符集够全
包含四种字符类型的密码比纯数字强几个数量级：
- 大写字母 A-Z（26个）
- 小写字母 a-z（26个）
- 数字 0-9（10个）
- 特殊符号 !@#$%^&* 等（约30个）
3. 真随机
人类的大脑不擅长生成随机数。看似"随机"的手打密码往往有规律可循。使用密码生成器的 crypto.getRandomValues() API 生成的密码才是真随机。
危险：不要用姓名、生日、键盘顺序（qwerty）、常见单词（password）做密码。这些在攻击者字典里排第一。
密码管理最佳实践
- 每个网站用不同密码：一个网站被拖库不会影响其他账户
- 配合密码管理器：Bitwarden（免费开源）、1Password、浏览器的密码管理器
- 开启二次验证：即使密码泄露，攻击者也无法登录
- 定期更换重要密码：金融、邮箱等关键账户建议每季度更换
- 不要在公共 Wi-Fi 下登录：数据可能被中间人截获
密码强度有多强？
以 16 位包含大小写字母+数字+符号的密码为例：
字符池 = 26+26+10+30 = 92 个字符
可能组合数 = 92^16 ≈ 2.5 × 10^31
即使每秒尝试 100 亿次，也需要约 8万亿年 才能穷举。宇宙的年龄才约 138 亿年。