作者：kaenfsk · 最后复核：2026 年 10 月 12 日 · 数据在浏览器本地处理 · 内容与维护标准
🔑 随机密码生成器
按你的规则生成本地随机密码，并给出强度评估。密码不会上传到服务器。
为什么要使用随机密码
很多人习惯在多个网站使用同一组密码，并在原密码后面加数字来“更新”。这种习惯会让一次泄露影响所有账号。随机密码由密码生成器按规则产生，不包含姓名、生日、网站名等可预测信息，即使某个网站泄露，其他账号也不会被同一密码攻破。
一个好的随机密码并不需要自己记住。现代实践是：让密码管理器保存复杂随机密码，再为账号启用两步验证。你只需要记住密码管理器的主密码即可。在线工具适合临时生成或本地保存前处理，不应把生成结果直接明文发送到聊天工具或网盘。
什么样的密码更强
密码强度主要取决于两个因素：可能字符集的大小和密码长度。每增加一个字符类型会扩大字符集，但最有效的做法是提高长度。例如 12 位混合字符密码通常明显强于 8 位密码；如果网站允许，使用 16 位以上的密码更为稳妥。本工具默认使用 16 位并包含四类字符，生成的密码长度足够、字符来源丰富。
如何生成
- 拖动滑杆选择密码长度，建议 16-24 位
- 勾选需要的字符类型，最少勾选两种，否则随机范围过小
- 如需避免 0/O、1/l/I 等易混淆字符，可勾选“排除易混淆字符”
- 点击生成，密码会显示在结果区域并给出强度提示
- 确认后立即复制并保存到密码管理器，不要停留在页面上过久
保存与使用建议
- 优先把随机密码存入密码管理器，而不是浏览器便签或记事本
- 重要账号开启两步验证，密码只是第一道保护
- 不同网站使用不同密码，重要系统单独设置高强度密码
- 怀疑密码泄露时立即修改，并检查账号最近的登录记录
- 不要把密码截图分享或写入不加密的文档
常见误区
误区一：用简单规则让密码“好记”。可预测的规则同样可被攻击者枚举。与其使用弱密码并频繁更换，不如使用随机长密码并由管理器保存。
误区二：增加几个感叹号就是强密码。真正决定强度的是随机性和长度。固定的替换规则已经进入常见字典，例如 P@ssw0rd 仍然很弱。
误区三：生成后把密码存在页面里。刷新或关闭页面后，本地生成的内容会消失。生成后应立即复制到目标位置。
安全与隐私
本工具使用浏览器内置加密随机源，密码只在你当前设备上生成，不会发送到任何服务器，也不会写入网站数据库。关闭页面后，生成结果和所有选项都会消失。为了设备安全，建议及时更新操作系统与浏览器版本，避免恶意软件通过系统漏洞读取剪贴板内容。
随机源与强度估算为什么重要
浏览器提供的加密随机数 API 比普通随机数更适合生成密码，因为它面向安全场景设计，不依赖易预测的时间种子。本工具用本地加密随机源逐位取字符，避免使用 Math.random 这类非加密算法。判断密码强弱时，可以近似看作“可用字符数”的“密码长度”次方：字符类型越多、长度越长，可能的组合越多，暴力破解所需尝试次数越高。
不要把强度提示当成绝对安全等级。真正影响账号安全的还有网站是否加密传输、是否限制登录尝试、是否使用两步验证，以及你是否在其他站点复用了同一密码。随机密码解决的是“被猜到、被枚举、被复用拖累”这三类最常见问题，但不能替代网站自身的防护。
不同场景应该用多长
普通论坛与临时服务至少 12 位，邮箱、支付、云服务等账号建议 16 位以上；服务器密钥、数据库密码等系统凭据通常应达到 24 位并独立生成。不要把系统密码设计成方便人工输入的短字符串，服务器与数据库都支持通过配置文件和密钥管理工具读取复杂密码。
需要人工抄写的场景可以适度取舍，例如排除易混淆字符并降低符号数量，但应当同时缩短密码暴露时间。不要因为个别旧系统限制长度或禁止符号，就在其他高安全系统中也使用极短密码。遇到限制，应优先升级系统，而不是为了兼容把全站密码标准拉低。
生成后如何安全地保存
最推荐的保存方式是密码管理器：它加密存储账号信息，还能在你登录时自动填充，避免反复复制粘贴。浏览器自带的密码保存功能对普通网站也足够方便，但应确认浏览器账户本身启用了两步验证，并且系统登录密码没有泄露给他人。
在把密码写入任何服务前，确认接收方是官方网站而不是仿冒页面。钓鱼攻击经常先诱导用户把“临时密码”或“当前密码”发送给客服，再结合社工手段接管账号。正规服务不会要求你通过聊天工具提供密码原文，遇到这类要求应立即停止操作。
账号出现问题时的处理顺序
- 先登录受影响账号，修改密码并退出所有其他设备
- 检查登录记录，确认异常登录来自哪些设备和地区
- 启用或重置两步验证，检查绑定的邮箱和手机号
- 如果密码曾在本站以外复用，同步修改其他重要账号
- 把本次事件记入安全检查记录，避免同类问题再次发生
团队与家庭共用账号的注意点
多人共用一个账号时，不要把密码直接写在共享表格或群公告里。可以选用支持成员权限的团队服务，或把密码放在加密共享库中，并为不同成员分配独立身份。退出、轮换和权限回收都要有明确负责人，否则人员变动后旧成员仍可能访问系统。
家庭成员的账号管理可以更务实：为老人和孩子设置独立且较长的密码，教会他们识别登录页域名，并开启设备锁与账号通知。安全不是让每个人都记住复杂口令，而是让最容易发生的风险被多层机制拦住。
按场景制定密码策略，而不是只追长度
密码长度、随机范围、使用频率和后台防护共同决定风险。高价值账号应使用独立的长随机密码并开启两步验证；需要人工输入且不支持自动填充的场景，可以使用由多个随机词组成的长口令，但仍要通过密码管理器保存。系统凭据不应套用“方便记忆”的规则，应通过密钥管理服务注入。
| 场景 | 建议方向 | 辅助措施 | 不要这样做 |
|---|---|---|---|
| 邮箱 / 云盘 / 支付 | 独立长随机密码 | 两步验证、恢复邮箱、登录通知 | 与论坛或购物站复用 |
| 公司服务器 | 20 位以上系统凭据 | 密钥管理、最小权限、轮换 | 写入代码、工单或聊天记录 |
| 共享服务 | 成员独立账号 | 角色权限、离职回收 | 全员共用同一密码 |
| 临时账号 | 短时有效凭据 | 限时访问、一次启用 | 长期不失效 |
密码轮换与泄露演练
发现异常登录后，先隔离风险：修改密码、撤销会话、重置两步验证，再检查恢复方式是否被篡改。若同一密码在其他网站使用，应同时修改并优先处理邮箱和密码管理器。团队系统还要查询访问日志、回收离职人员权限和轮换共享密钥。不要只改密码却保留旧会话或旧令牌，否则攻击者仍可能继续访问。
本工具不会记录你的密码
密码只在当前浏览器页面生成，生成过程不会把密码发送到任何服务器，本站代码也不会把密码或页面状态写入 Cookie 或本地存储。关闭页面后，密码、长度和选项都会随会话结束清除。使用公共电脑后应刷新页面并清理浏览器缓存；在个人设备上，还建议开启磁盘加密，进一步保护已经保存在系统里的密码库和浏览器数据。