祈灵工具箱🛡️密码强度检测 - 在线估算破解时间，识别弱密码模式与泄露
“P@ssw0rd!” 看起来有大小写、数字和符号，其实几秒钟就会被破解。本工具不只看字符种类，而是像真实攻击者那样找出密码里的规律：常见密码和单词（含倒写与 @→a、0→o 这类替换）、键盘路径（qwerty、1qaz2wsx）、顺序（abc、1234）、重复（aaa、abcabc）、日期和年份、拼音姓名（如 zhangwei1990），再计算“最少需要猜多少次”，给出估算熵和四种攻击场景下的破解时间：在线限速、在线不限速、离线慢哈希、离线快哈希。下方列出识别到的每个模式和具体改进建议。需要时还可以点击按钮，用 Have I Been Pwned 的 k-匿名接口查询这个密码是否出现在已知泄露数据中——只发送 SHA-1 哈希的前 5 位，密码本身绝不离开你的设备。
免费 · 无需注册 · 浏览器本地处理最后更新：
正在加载工具...
如何使用密码强度检测
- 1在输入框中输入要检测的密码（默认隐藏显示）
- 2查看强度等级、估算熵、各攻击场景下的破解时间和识别出的模式
- 3按建议修改密码；如需要，点击按钮查询是否出现在泄露数据中
常见问题
- 在这里输入真实密码安全吗？
- 强度评估完全在浏览器本地用 JavaScript 计算，页面不会保存、记录或发送你输入的内容，也不写入本地存储。只有当你主动点击“查询是否在泄露数据中出现过”时才会联网，且只发送 SHA-1 哈希的前 5 个字符。如果仍不放心，可以输入结构相同的类似密码来测试。
- 泄露查询是怎么保护隐私的？
- 采用 Have I Been Pwned 的 k-匿名范围查询：本地先算出密码的 SHA-1 哈希（40 位十六进制），只把前 5 位发给服务器，服务器返回所有以这 5 位开头的泄露哈希后缀（通常几百条，另加随机填充），再在你的浏览器里比对剩下的 35 位。服务器无法知道你查的是哪个密码。
- 破解时间是怎么估算的？
- 先找出密码中所有可识别的模式，用动态规划求出“最少猜测次数”的拆分方式，再按平均需要尝试一半组合计算：在线限速按每小时 100 次，在线不限速每秒 10 次，离线慢哈希（bcrypt 等）每秒 1 万次，离线快哈希（MD5 / SHA-1 + 显卡）每秒 100 亿次。结果是数量级估计，不是精确值。
- 怎样的密码才算强？
- 长度比复杂度更重要：建议至少 12～16 位，最好是 4 个以上随机、互不相关的词组成的口令，或由密码管理器生成的随机串；避免生日、姓名拼音、手机号、键盘路径和常见密码加数字后缀。每个网站使用不同的密码，并为重要账号开启两步验证。