security - 你如何强制执行强密码？

Question

有许多技术可以在网站上强制执行强密码:

要求密码通过不同复杂度的正则表达式

自主设置密码，让普通用户拥有强密码

让密码过期

等

另一方面，也有缺点，因为所有这些都让用户的生活变得不那么容易，这意味着更少的注册。

所以，你使用什么技术？哪个提供最佳保护与不便比率？

澄清一下，我指的不是银行网站或存储信用卡的网站。更多地考虑仍然需要注册的流行(或不那么流行)的网站。

Answer 1

我认为强制使用强密码是不可能的，但是您可以做很多事情来尽可能地鼓励它们。

对每个密码进行评分，并以分数或图形条等形式给予用户反馈

设置最低密码分数以清除糟糕的密码

列出禁止使用的常用词，或降低密码分数

一 优秀 我喜欢使用的技巧是将密码的到期日期与密码分数相关联。因此不需要经常更改更强的密码。如果您可以向用户提供有关他们选择的密码将使用多长时间的直接反馈(并动态更新密码，以便他们可以查看添加字符如何影响日期)，则此方法特别有效。