業界現狀：99% 的實現都是錯的

主流實現：字符分類計數 → 數字/小寫/大寫/符號四類 → 單一類=弱、兩類=中、三類+=強。
致命缺陷：#%^&**(&判定為「弱」，Password1判定為「強」——完全背離用戶認知與攻擊模型。

Google 註冊表單的啟示：基於「猜測難度」的評分模型

實測 Google 密碼強度計表現：

輸入	判定	邏輯解讀
888888	弱	純數字重複，字典首位
12345678	弱	鍵盤序列，字典高頻
design	一般	常見單詞，字典中頻
vision	一般	常見單詞
12345567	很好	近似序列但有變化，熵值提升
26380445	極佳	無規律數字串，高熵值
szzhong	極佳	非字典拼音組合，抗字典攻擊
#%^&**(&	極佳	特殊字符亂序，極難字典命中
wau657	極佳	字母+數字混合，無語義規律

科學檢測模型：zxcvbn 算法原理

Dropbox開源的 zxcvbn 是業界標準，核心維度：

1. 熵值估算：基於信息論，計算攻擊者猜測所需期望次數
2. 多模式匹配：
   • 字典匹配（常見密碼、維基詞條、人名、地名）
   • 鍵盤幾何模式（qwerty、asdf、鍵盤行走）
   • 重複模式（aaa、123123、abab）
   • 序列模式（1234、abcd、鍵盤序列）
   • Leet Speak 替換（a→@, e→3, o→0, s→$）
   • 日期/年份模式（1990, 2024, 0101）
3. 攻擊場景建模：在線限速（100次/秒）、離線快照（10億次/秒）、鍵導出（1萬次/秒）
4. 反饋生成：具體改進建議（如「避免使用常見單詞」、「增加長度至12位以上」）

工程落地方案對比

方案	精度	體積	適用場景
字符類型計數	⭐	<1KB	極簡項目、演示用
正則規則評分	⭐⭐	2-5KB	傳統項目、無構建工具
zxcvbn (官方JS)	⭐⭐⭐⭐⭐	~800KB (含字典)	高安全要求、有構建優化
zxcvbn-ts (TypeScript重寫)	⭐⭐⭐⭐⭐	~200KB (樹搖後<50KB)	現代構建項目首選
自研輕量模型	⭐⭐⭐	10-30KB	體積敏感、需定制字典

最佳實踐棧單

1. 引入 zxcvbn-ts：npm i zxcvbn-ts
2. 實時反饋 UI：輸入時防抖(300ms)計算，進度條+文字建議
3. 最低門檻：熵值 < 30 bits（zxcvbn score < 2）禁止提交
4. 禁用常見密碼：整合 haveibeenpwned Pwned Passwords API (k-anonymity 模式)
5. 多因子輔助：推薦密碼管理器、WebAuthn/FIDO2 硬件鑰匙
6. 服務端複核：前端攔截誤報率高，服務端必須二次驗證

用戶體驗細節

• 顯示「破解時間」而非抽象等級：「離線破解需 2 世紀」 直觀震懾
• 針對性建議：「將 'company2024' 改為 'C0mp@ny_2024_Secure' 可提升 10 倍強度」
• 密碼顯示/隱藏切換、生成器一鍵填充
• 避免「強制特殊字符」等反模式規則（NIST 800-63B 已明確反對）

密碼強度檢測的本質是攻擊者視角的熵值建模，而非防禦者視角的規則檢查。拋棄字符類型統計，擁抱 zxcvbn，是提升賬號安全的最具性價比投資。