群里又有人在为「密码生成免安装」争了。我插了句嘴，把规则摆出来，群里瞬间安静了——其实大家争的不是一回事。
标准流程
强密码标准：长度≥12位、含大小写字母+数字+特殊符号、不包含个人信息、不重复使用。熵值(随机性)越高越难破解，12位混合字符熵约78位，暴力破解需数万年。用crypto安全的随机源(Math.random不安全)生成。工具更新换代快，但底层原理不变，搞懂原理比追新工具重要。复杂操作分步做，每步验证，比一口气跑完再排查问题靠谱。
这几个坑千万别踩
密码强度评估看长度和字符集多样性。8位纯数字只有10^8=1亿种组合(秒破)，12位混合字符有94^12≈4×10^23种(不可破)。建议用密码管理器(如Bitwarden)为每个网站生成并存唯一强密码，主密码记一个就行。工具再智能也得给对输入，单位、格式、精度搞错结果就错。浏览器原生API优先用，不用装插件，兼容性也更好。
实算对比
先了解原理。密码生成免安装这类工具，背后都有明确的算法或规则。搞懂原理不是为了自己实现，而是知道输入什么、输出什么、哪些因素影响结果，用起来才心里有底。localStorage能持久化用户设置，刷新不丢，但不同浏览器不共享。本地运行的工具数据不上传，比那种要注册要登录的安全得多。
几个要注意的地方
有几个坑我得提前打个预防针：
- Math.random不安全，必须用crypto.getRandomValues
- 8位纯数字只有1亿组合秒破，12位混合字符94^12不可破
- 别用生日姓名手机号123456，字典攻击秒破
- 主密码记一个就行，其他全存密码管理器
「密码生成免安装」的坑我踩过、也看过别人踩过。这篇把我能想到的都写了，希望你顺利绕开。
复杂操作分步做，每步验证，比一口气跑完再排查问题靠谱。能用网页版就别下APP，省得装一堆用不上的东西，还可能收集隐私。生成类工具(密码/UUID/随机数)一定用crypto安全随机源，Math.random不安全。工具更新换代快，但底层原理不变，搞懂原理比追新工具重要。本地运行的工具数据不上传，比那种要注册要登录的安全得多。localStorage能持久化用户设置，刷新不丢，但不同浏览器不共享。浏览器原生API优先用，不用装插件，兼容性也更好。输入错了工具再准也是错，动手前先核对数据格式。工具选型看四点：本地运行、免费无广告、操作简单、结果可复制。结果可疑时换个工具交叉验证，别盲信单一来源。工具再智能也得给对输入，单位、格式、精度搞错结果就错。
常见问题
【为什么不能用生日做密码？】生日只有8位数字、组合少(365×100约3.6万种)，且易被社工获取，字典攻击秒破。姓名拼音、手机号、123456、password等都属于弱密码，要用随机生成的强密码。
【密码生成免安装怎么用？】打开对应在线工具，按提示输入数据，点击计算或转换即可出结果。工具在浏览器本地运行，数据不上传，安全免费。具体操作看工具页的使用说明。
【密码强度怎么评估？】看长度和字符集多样性。长度每+1熵增log2(字符集大小)，字符集越大熵越高。纯数字熵低，混合大小写+数字+符号熵高。在线工具按熵值估算破解时间，低于60位算弱。
【多长的密码才安全？】至少12位混合大小写字母+数字+特殊符号。8位纯数字1亿组合秒破，12位混合字符94^12≈4×10^23种组合暴力破解需数万年。每网站用不同密码，密码管理器管理。
