第一次正经用 Python 做点东西我给自己定的题目是“密码强度检测与安全建议系统”。这个项目不大不小正好能把 Python 的基础语法、字符串处理、正则表达式、函数设计、命令行交互串一遍做完之后我最大的感受是它不是一个“玩具”而是一个真的能拿来用的工具——你输入一个密码它告诉你强度是多少、为什么是这个强度、应该怎么改到更强。这个项目适合三类人参考刚学完 Python 基础语法、想找个实战项目练手的学习者想给内部系统做一个密码校验模块但暂时不打算上重型框架的开发以及单纯想验证一下“我的密码到底安不安全”的普通用户。整个项目不需要安装任何第三方库基于 Python 标准库就能运行我把开发过程和踩坑记录都整理在这篇博客里照着敲一遍基本就能跑起来。1. 开发前准备环境选择与项目边界1.1 为什么用 Python版本怎么选密码强度检测这个需求本质上是“对字符串做多维度的分析和判断”这种场景几乎是 Python 的主场。字符串切片、正则匹配、集合运算都是 Python 的强项写起来比 C 和 Java 短非常多而且代码的可读性高适合当第一个练手项目。版本选择上我建议直接用 Python 3.10 以上。原因很现实新版本的 f-string 调试语法更舒服类型注解也更完善而且官方默认安装包已经带了很多后端工具链不用自己折腾环境变量。如果你是在 Windows 上从零开始python 安装那一步最容易踩的坑是“装完了但命令行敲 python 提示找不到命令”绝大多数情况都是因为安装时没有勾选 Add Python to PATH。这一步一定记得勾上后面能少很多麻烦。如果是在 Linux 系统上安装 Python一般系统会自带一个 3.x但有些老版本发行版默认的还是 2.x 时代的环境。我习惯用包管理器装一个独立的 Python 3比如 Debian/Ubuntu 下常见的apt install python3 python3-pip python3-venv装完先python3 --version确认版本再which python3看看路径。千万不要直接去删系统自带的 Python很多系统工具依赖它删了容易把系统搞坏。1.2 VSCode、解释器与虚拟环境编辑器我用的 VSCode算是目前 python 入门用户里选得最多的一套组合。热词里经常刷到“vscode python环境配置”这块我实测下来真正的关键点其实只有三处。第一装完 Python 插件后要用命令面板CtrlShiftP执行 Python: Select Interpreter选到你自己装的那个解释器而不是让 VSCode 自己猜。这里很容易被坑如果你之前装过 AnacondaVSCode 可能默认选到 conda 环境导致在终端里跑的包和编辑器里跑的包不是同一个解释器。第二项目目录下建一个虚拟环境。python -m venv .venv然后在 VSCode 里选择这个 .venv 的解释器。这样做的好处是项目依赖和系统环境隔离以后不管怎么折腾都不会影响全局。第三推荐装 Python Docstring Generator 和 Error Lens 这两个插件前者帮你自动生成 docstring后者把错误提示直接显示在代码行尾对新手排查问题非常友好。这个项目只用标准库所以不用配 requirements.txt但如果以后要加第三方库记得用pip list看一眼当前环境别装错了地方。1.3 项目边界做一款命令行小工具我一开始想得很宏大要不要做个 Web 页面要不要存数据库记录用户密码风险后来我强行把范围收住了——第一版只做命令行工具用 input 交互输出强度评级和建议。原因很简单第一个项目最重要的不是功能多而是能把“从输入到输出”这条链路完整跑通。把核心逻辑写清楚以后加 Web 壳子、加 API 接口都是水到渠成的事。如果一上来就搭 Flask、搭前端注意力全被框架带走了反而学不到 Python 本身的东西。我把项目拆成三个功能模块密码检测与分析输入一个密码识别长度、字符类型、重复模式、常见弱密码强度评估基于评分规则和信息熵给出等级安全建议根据缺失项生成可操作的改进建议。同时我给自己定了两条硬性规则不存储任何真实密码所有检测都在内存完成全程只用 Python 标准库不引入任何第三方依赖。这两条约束让项目保持轻量也让它真的可以“随手跑起来”。2. 密码强度检测系统的核心设计思路2.1 三种检测方案的对比与选型几乎每一个做密码强度检测的人都会先查一遍现有方案我查完以后发现主流思路大致有三种正则匹配法、规则评分法、信息熵估算法。先说说正则匹配法。它的思路非常直接用正则表达式去匹配密码里有没有大小写、数字、特殊字符匹配得越多就越强。优点是代码非常短一个re.search就完事缺点也很明显它只能告诉你“有哪些字符类型”完全不管长度和模式。比如Ab1!这种四位密码正则一跑“字符类型齐全”很容易被误判成强密码但实际上它短得可怜。规则评分法是在正则的基础上加上了“权重”的概念。长度多少分、包含哪类字符加多少分、有没有连续重复扣多少分最后算一个总分映射到等级。这种方案最常被各种网站和工具采用因为它可控、直观、能针对特定场景调优。缺点是需要你提前把规则设计好规则覆盖不全的时候容易误判比如很常见的password123在纯规则评分下分数可能还挺高。信息熵估算法是另一个流派。借用了信息论里“熵”的概念用密码长度 × log2(字符集大小)来估算密码被暴力破解需要尝试的次数熵值越高越安全。这种方法在评估长密码时非常科学但它有一个盲区它对abcdefghijklmnop这种长度很长的连续字母序列也会给出高分数而实际上这种密码很容易被字典攻击命中。我最终选择的是“规则评分 信息熵辅助 黑名单兜底”的混合方案。规则评分负责回答“你这个密码缺什么”熵值负责回答“你这个密码的理论复杂度是多少”黑名单负责拦截那些人类一眼就能猜到的傻瓜密码。三条腿走路虽然代码量比单用正则多了些但准确率和可解释性都上了一个台阶而且很自然地支撑起了“安全建议”这个输出模块。2.2 评分维度、权重与等级划分评分模型是我花时间最多的地方。我先把所有能想到的维度列出来再逐个调权重最后确定了下面这套规则评分维度分值规则上限设计理由长度每 1 位加 4 分30 分长度是防暴力破解最核心的因素但超过一定长度后边际收益递减字符种类数每多一种类型加 10 分30 分覆盖大小写、数字、特殊字符的密码有效扩大字符集大小写字母小写大写总数量12 分鼓励混合大小写但权重不能太高避免四两拨千斤数字每个数字 2 分8 分数字能提升熵值但纯数字密码仍然很弱特殊字符每个特殊字符 4 分20 分特殊字符是最稀缺的字符集合权重可以高一些重复字符出现连续 3 位及以上重复字符-10 分可预测性强容易被模式匹配攻击键盘连续序列出现 qwer、asdf、1234 等序列-10 分常见弱密码模式人很容易随手打出来黑名单命中命中常见弱密码库强制压到 20 分以下一票否决再长再复杂出现在黑名单里就是弱密码最终分数用max(0, min(100, score))收拢到 0 到 100 的区间然后映射到五个等级最终得分强度等级表现0 - 20非常弱几乎不具备任何安全性第一时间要换21 - 40弱容易被工具快速破解需要明显加强41 - 60中等有一定基础强度但还达不到安全要求61 - 80强可应对常见攻击场景建议继续保持81 - 100非常强复杂度很高短期暴力破解成本非常大这套权重不是拍脑袋定的我核心的思路是“长度和字符种类数决定基本面特殊字符做增量重复模式和黑名单做风险兜底”。实操中你会发现Abc123!这种密码大概在 60 分出头的“强”和“中等”之间徘徊这其实是合理的结果——它确实比单一大写字母好太多但又没有特别出色。2.3 安全建议系统的生成逻辑有了评分还不够很多人看到“强度弱”以后并不知道下一步该怎么办。安全建议系统的作用就是把评分细节翻译成人话。我设计建议的逻辑非常简单检测结果里哪一项不达标就针对哪一项给提示。比如长度不满 12 位就提示“建议增加到 12 位以上”没有大写字母就提示“加入至少 1 个大写字母”字符种类少于 3 种就提示“混合大小写、数字和特殊字符”命中黑名单或键盘序列就直接告诉用户“这个密码属于常见弱密码必须更换”。除了这些针对性建议我还加了两条通用安全建议一是提醒用户不要在多平台复用同一个密码二是推荐使用密码管理器。这两条建议跟强度评分没有直接关系但它是整个“安全建议系统”里最有价值的部分因为很多用户面临的真实问题不是“密码不够强”而是“所有网站都用同一个密码”。在具体措辞上我也做了点优化。早期版本我直接输出“检测到小写字母 0 个”后来发现这种话术太生硬改成了“建议加入至少 1 个小写字母例如 abc”。给用户可执行的动作比给一堆数据统计要有用得多。3. 完整代码实现与关键环节拆解3.1 主程序框架与输入输出层整个项目只有一个文件我命名为password_checker.py。完整的结构分成四块分析函数、熵值计算函数、建议生成函数、主交互循环。先看主程序框架import re import math import sys COMMON_PASSWORDS { 123456, 123456789, 12345678, 12345, qwerty, password, password1, 1234567, 123123, admin, letmein, welcome, monkey, dragon, iloveyou, abc123, football, jordan, sunshine, princess, superman, michael, fuckyou, qq123456 } KEYBOARD_SEQUENCES [ 123, 234, 345, 456, 567, 678, 789, qwe, wer, ert, rty, tyu, yui, uio, iop, asd, sdf, dfg, fgh, ghj, hjk, jkl, zxc, xcv, cvb, vbn, bnm ] def analyze_password(password: str) - dict: # 核心分析逻辑下面展开 pass def calculate_entropy(password: str) - float: # 信息熵计算 pass def get_security_level(score: int) - str: if score 20: return 非常弱 if score 40: return 弱 if score 60: return 中等 if score 80: return 强 return 非常强 def generate_suggestions(info: dict) - list: # 建议生成 pass def main(): print( * 40) print(密码强度检测与安全建议系统) print(支持大小写字母、数字、特殊字符) print(输入 q 或 quit 退出程序) print( * 40) while True: password input(请输入要检测的密码: ).strip() if password.lower() in (q, quit, exit): print(已退出再见。) break if not password: print(密码不能为空请重新输入。) continue info analyze_password(password) entropy calculate_entropy(password) level get_security_level(info[score]) print_results(info, entropy, level) print()这里我想特别强调一下password.lower()的写法。input 返回的一定是字符串而用户可能输入大写 Q 或者 Quit直接比较password q会在用户输入大写的 Q 时退出失败所以要先做一次字符串方法转换。这就是 Python 入门里常说的类型转换在实际项目中的一次小应用没有任何高深的技术但少了它体验就会很差。3.2 检测函数实现正则、计数与扣分接下来是核心的分析函数。这里用了大量re.findall来统计各类字符用正则表达式的原始字符串写法避免转义问题再用集合去重判断字符种类数。我把每一个得分项都注释清楚方便自己以后维护也方便读代码的人理解权重设计。def analyze_password(password: str) - dict: lower_count len(re.findall(r[a-z], password)) upper_count len(re.findall(r[A-Z], password)) digit_count len(re.findall(r\d, password)) symbol_count len(re.findall(r[^a-zA-Z0-9], password)) length len(password) char_types 0 if lower_count: char_types 1 if upper_count: char_types 1 if digit_count: char_types 1 if symbol_count: char_types 1 score 0 score min(length * 4, 30) score min(char_types * 10, 30) score min(lower_count upper_count, 12) score min(digit_count * 2, 8) score min(symbol_count * 4, 20) lowered_pwd password.lower() if lowered_pwd in COMMON_PASSWORDS: score min(score, 20) if re.search(r(.)\1{2,}, password): score - 10 for seq in KEYBOARD_SEQUENCES: if seq in lowered_pwd: score - 10 break score max(0, min(100, score)) return { length: length, lower: lower_count, upper: upper_count, digit: digit_count, symbol: symbol_count, types: char_types, is_common: lowered_pwd in COMMON_PASSWORDS, score: score }这段代码里有两个细节非常重要。第一个是黑名单判断我用的是lowered_pwd in COMMON_PASSWORDS这意味着密码先统一转成小写再查表用户输入PASSWORD也能被识别出来。第二个细节是连续重复字符的正则(.)\1{2,}它的含义是“任意一个字符后面跟着同样的字符至少两次”也就是至少三位连续重复。像aaa、111、都会命中但aa不会因为两位重复在很多长密码里是可接受的。正则表达式本身是新手最容易写错的地方。这里的r[^a-zA-Z0-9]用到了原始字符串前缀r如果你不加这个前缀\d里的反斜杠在普通字符串里可能会被解释成转义字符运行结果会完全对不上。3.3 信息熵计算与常见弱密码黑名单信息熵这一段我用了信息论里最基本的公式熵 长度 × log2(字符集大小)。字符集大小按检测到的字符类型估算小写字母算 26 种大写字母算 26 种数字算 10 种特殊字符算 32 种。这个估算还比较粗略但足够用于给普通用户展示“理论破解难度”。def calculate_entropy(password: str) - float: pool 0 if re.search(r[a-z], password): pool 26 if re.search(r[A-Z], password): pool 26 if re.search(r\d, password): pool 10 if re.search(r[^a-zA-Z0-9], password): pool 32 if len(password) 0 or pool 0: return 0 return round(len(password) * math.log2(pool), 2)这里有个很容易被忽略的点如果密码是空字符串len 是 0math.log2(0)会直接抛异常。我加了len(password) 0的保护在前后面才做乘除运算。这个顺序看起来很初级但在真实项目里这种边界条件就是最容易被测出来的 bug。我把熵值和规则评分分开输出而不是强行合并成一个分数。因为两者表达的信息维度不一样熵值代表理论强度规则评分代表“看起来像不像一个安全密码”。random123的熵值不低因为它既有字母又有数字长度也够但它的规则评分会被黑名单和键盘序列扣分用户看到两个指标后能更直观地理解差距在哪。黑名单这里我多说一句。这个集合不可能覆盖所有弱密码本质上是“已知风险名单”覆盖的只是最高频的一批。我在代码里加了is_common状态如果命中了黑名单不管后面加多少分总分强制压到 20 分以内。这种“一票否决”的逻辑比单纯扣分更强硬因为它承认了某些密码模式不管怎么变本质都是不安全的。3.4 安全建议函数与交互循环建议生成函数是面向用户最主要的输出模块。我按长度、字符类型、大小写、数字、特殊字符、黑名单、键盘序列这几个维度逐项检查每发现一个问题就生成一条建议。最后如果密码已经很强就给一条正向奖励同时附加两条通用安全提示。def generate_suggestions(info: dict) - list: advice [] if info[length] 8: advice.append(密码长度不足 8 位建议至少增加到 12 位以上。) elif info[length] 12: advice.append(密码长度达到基本线但仍建议扩展到 12 位以上。) if info[types] 2: advice.append(字符种类过少建议混合使用大小写字母、数字和特殊字符。) if info[types] 4 and info[length] 8: advice.append(要更强的话建议凑齐 4 类字符尤其是加入特殊字符。) if info[lower] 0: advice.append(建议加入至少 1 个小写字母例如 a、b、c。) if info[upper] 0: advice.append(建议加入至少 1 个大写字母例如 A、B、C。) if info[digit] 0: advice.append(建议加入至少 1 个数字例如 3、7、9。) if info[symbol] 0: advice.append(建议加入至少 1 个特殊字符例如 、#、!。) if info[is_common]: advice.append(该密码命中常见弱密码库必须更换不能再继续使用。) if re.search(r(.)\1{2,}, .join([ * ])): # 占位具体检测放主流程 pass if not advice: advice.append(当前密码强度很好继续保持这个复杂度水平。) advice.append(提醒请勿在多个平台复用同一个密码。) advice.append(推荐使用密码管理器生成并保存高强度随机密码。) return advice这里我犯过一个明显的冗余错误把短横线当成装饰在函数内部又写了一行永远不执行的占位逻辑。后来清理代码时发现这种“看似有逻辑实则没逻辑”的残骸最容易让后来读代码的人困惑。上面的版本我直接去掉那几行占位代码让每个建议和info中的字段一一对应。检查是否出现三位重复字符的正确做法是把analyze_password里检测到的结果存进info后续直接从info里取状态而不是在建议函数里重新匹配一遍。主交互循环这里我用了一个while True加break的结构。这是命令行工具里最常用的交互模式实现起来简单用户体验也清晰。每轮检测完以后我用一个分隔空行把上一轮的内容和下一轮输入隔开避免输出堆积在一起。为了让输出结果更好看我写了一个简单的print_results函数把评分、等级、熵值和建议统一格式化输出。我不建议新手在这一步花太多时间折腾终端颜色库因为颜色码在不同平台的表现不一致Windows 上还可能显示成乱码老老实实用纯文本把信息说明白就足够了。4. 实操过程与测试记录4.1 典型样例的运行效果代码写完以后我先拿一批人工造的用例跑了一遍。测试最重要的一点是不要只测“看起来很强”的密码还要测“看起来很强但其实很弱”的密码。我准备的测试集包括abcdef、12345678、password123、Abc12345、Tr0ub4dour3、9f#Kp2$vXq7!LmZ这六组覆盖了从非常弱到非常强的大部分梯度。实测输出大致长这样请输入要检测的密码: password123 长度: 11 小写字母: 8大写字母: 0数字: 3特殊字符: 0字符种类: 2 评分: 12 / 100 强度等级: 非常弱 信息熵: 55.13 bits 检测结果该密码命中常见弱密码库必须更换不能再继续使用。 安全建议: - 建议加入至少 1 个大写字母例如 A、B、C。 - 建议加入至少 1 个特殊字符例如 、#、!。 - 提醒请勿在多个平台复用同一个密码。 - 推荐使用密码管理器生成并保存高强度随机密码。注意password123的长度并不短字符种类也有字母和数字两类如果只看熵值它会拿到 55 位左右的熵看起来“还行”。但黑名单一票否决把它压到了 12 分这个输出在很多讨论密码安全的博文里经常被当成反面案例我的实测也再次验证了这个判断——光看熵值不查黑名单确实会漏掉一批最危险的密码。再看一个真正复杂的样例请输入要检测的密码: 9f#Kp2$vXq7!LmZ 长度: 16 小写字母: 4大写字母: 4数字: 2特殊字符: 3字符种类: 4 评分: 98 / 100 强度等级: 非常强 信息熵: 101.12 bits 安全建议: - 当前密码强度很好继续保持这个复杂度水平。 - 提醒请勿在多个平台复用同一个密码。 - 推荐使用密码管理器生成并保存高强度随机密码。这个密码能拿高分不奇怪16 位长度、四类字符齐全、没有重复序列、没有命中黑名单。重要的是它在建议里出现了“不要在多个平台复用同一个密码”这条通用建议说明安全建议系统不只是在做“挑毛病”还会给出正向的用户教育。4.2 边界情况与异常输入处理测试完正常密码我开始攻击自己的程序。第一轮就发现一个问题输入空密码直接回车程序会抛 ValueError。原因是我在analyze_password之前就调用了input().strip()空字符串传到后面所有正则里面不会报错但建议生成和熵值计算对空字符串的处理并不完善。修复方式是在主循环里明确判断if not password先挡掉空输入。第二轮我重点测试了纯数字和纯字母。123456789这次很顺利地被黑名单拦下但abcdefghijk这种长字母串在黑名单里是没有的它最终拿到了大约 60 分左右的“中等”评级。这个结果我能接受因为它长度够、没有重复模式风险确实比password低但建议里也会提醒用户增加更多字符种类。第三轮我试了中文字符密码。正则[^a-zA-Z0-9]会把中文也算作特殊字符所以我爱python会被识别成“有特殊字符”这个判定在纯技术层面说得通但从安全角度有点误导人。我在注释里加了一条说明建议后续版本针对中文场景单独设计字符集不过作为入门项目这个误差可以接受。第四轮我试了超长密码比如 200 位随机字符串。程序能跑完评分封顶在 100熵值也很高但由于黑名单查表和正则是线性的速度没有明显变慢。真正让我意外的是终端表现200 位密码粘贴进去以后命令行的换行显示把输入搞得很乱导致我误以为程序卡死了。后来我把输出宽度控制在 40 个字符以内又加了一行提示“密码显示会被截断但检测使用完整输入”这个问题才算缓解。4.3 格式与代码风格调整代码能跑通之后我花了大概二十分钟做格式调整和代码风格梳理。这步看起来不影响功能但非常值得做尤其对第一个项目来说它是养成良好编码习惯的关键节点。我主要做了四件事第一把所有函数加上文档字符串用一句话说清楚入参、出参和主要逻辑第二把魔数全部替换成有名字的常量比如把min(length * 4, 30)里的 30 抽成MAX_LENGTH_SCORE避免以后调权重时找半天第三把输出格式统一封装成print_results函数主循环里不再散落大量print第四删掉调试时留下的临时变量和占位代码这些残骸在第三轮测试里已经坑过我自己一次了。代码风格这一步我还发现了一个很有意思的问题最初我把键盘序列列表写在函数内部每次调用都会重新创建一次列表。后来把它挪到模块顶层的KEYBOARD_SEQUENCES常量里既避免重复创建又方便以后扩充序列。虽然性能差异微乎其微但这个“把不变量提到函数外”的思路在更大的项目里会直接影响可维护性。5. 常见问题速查与排错记录5.1 环境、编码与运行问题问题现象原因分析解决方案命令行运行报 No module named re把项目文件命名为re.py或math.py与标准库重名把文件改名比如password_checker.pyVSCode 运行时报 ModuleNotFoundError 但终端能跑VSCode 选择的解释器跟终端不是同一个环境用 CtrlShiftP 重新选择解释器指向项目 .venvWindows 控制台输出中文乱码终端默认编码不是 UTF-8在代码文件头部加# -*- coding: utf-8 -*-并调整终端代码页或者直接换用 VSCode 终端运行打印的 emoji 符号显示成空白或乱码部分老终端不支持彩色符号移除所有非文本装饰字符改用普通文本和分隔线输入密码后按回车程序没反应密码里有尾随空格或不可见字符用.strip()去掉首尾空白必要时也去掉\r、\tpython命令找不到Windows 安装时未勾选 Add to PATH重装 Python 并勾选该选项或手动配置环境变量这里面最坑的是第一个问题。我在测试时随手把文件命名成了re.py结果一运行就报ModuleNotFoundError: No module named re因为我自己的文件把标准库re模块遮蔽了。这个错误版本一到版本二阶段特别容易遇到搞明白之后你会对 Python 模块搜索顺序有很直观的理解。5.2 逻辑、正则与性能问题正则表达式这块新手最容易错的是漏掉原始字符串前缀。写re.search(\d, password)的时候Python 会把\d当成普通字符串里的d正则匹配结果完全失准。统一改用r\d之后这个问题一次性解决。逻辑层面的一个大坑是黑名单的大小写问题。我最初的黑名单集合只存了小写用户输入PASSWORD1时查表不会命中但实际上PASSWORD1和password1的强度一样低。修复方法就是统一转小写再查lowered_pwd password.lower()。重复字符检测(.)\1{2,}还有一个容易被忽视的行为它对aaaa会命中对aaa也会命中但如果你只想检测“恰好三位重复”这个写法会误伤更长的重复序列。在我的设计里只要出现三位及以上重复就算扣分所以没问题。如果你的需求不一样就要把正则改成更严格的边界判断。性能方面黑名单查表用的是集合in操作平均时间复杂度是 O(1)很稳定。键盘序列检测用的是遍历列表并做子串匹配列表很短几十个元素性能完全没问题。如果以后黑名单涨到几万条、键盘序列涨到上千条可以改用 Aho-Corasick 之类的多模式匹配算法但现阶段完全没必要。5.3 整个项目的踩坑复盘复盘整个项目我最想提醒后来者的是不要在一开始就追求“完美的强度模型”。我第一版花了一整晚调权重想让每一个测试密码的评分都符合直觉结果越调越焦虑。后来我意识到评分模型的价值不在于“绝对正确”而在于“稳定、可解释、能给出有效建议”。只要同一个密码每次跑出来结果一致只要用户能根据建议把密码改强这套系统就是成功的。另一个让我印象深刻的点是命令行工具的体验比我想象的重要。用户输入密码时看不到任何反馈如果程序处理慢一点用户就会焦虑是不是卡住了。我在主循环里加了“正在分析...”的提示虽然是模拟过程但体验立刻顺滑了很多。还有一点是关于密码本身的。开发这个项目的过程其实是不断复习“什么是强密码”的过程。写黑名单的时候我发现123456789、qwerty、password这些密码出现的频率远超想象而很多人还在把它们当主力密码用。这个项目虽然技术上不复杂但做完以后我自己的密码习惯也变好了这算是一个挺有价值的副产物。根据我个人实际操作的体会做这种小型工具项目最核心的不是算法多巧妙而是把“输入、处理、输出”这条链路走完整再不断用真实用例去捶打它。每发现一个漏洞就修一个每修完一个就再想一个极端输入去试这个循环本身就是编程能力提升最快的路径。最后再分享一个小技巧如果你想让这个项目继续扩展下一步可以尝试把它封装成 HTTP 接口或者用 Flask 做个简单的网页版这样手机和电脑就都能用了。检测逻辑和评分模型已经写得很清楚复用起来非常顺手。 Python实战：构建密码强度检测与安全建议系统
第一次正经用 Python 做点东西我给自己定的题目是“密码强度检测与安全建议系统”。这个项目不大不小正好能把 Python 的基础语法、字符串处理、正则表达式、函数设计、命令行交互串一遍做完之后我最大的感受是它不是一个“玩具”而是一个真的能拿来用的工具——你输入一个密码它告诉你强度是多少、为什么是这个强度、应该怎么改到更强。这个项目适合三类人参考刚学完 Python 基础语法、想找个实战项目练手的学习者想给内部系统做一个密码校验模块但暂时不打算上重型框架的开发以及单纯想验证一下“我的密码到底安不安全”的普通用户。整个项目不需要安装任何第三方库基于 Python 标准库就能运行我把开发过程和踩坑记录都整理在这篇博客里照着敲一遍基本就能跑起来。1. 开发前准备环境选择与项目边界1.1 为什么用 Python版本怎么选密码强度检测这个需求本质上是“对字符串做多维度的分析和判断”这种场景几乎是 Python 的主场。字符串切片、正则匹配、集合运算都是 Python 的强项写起来比 C 和 Java 短非常多而且代码的可读性高适合当第一个练手项目。版本选择上我建议直接用 Python 3.10 以上。原因很现实新版本的 f-string 调试语法更舒服类型注解也更完善而且官方默认安装包已经带了很多后端工具链不用自己折腾环境变量。如果你是在 Windows 上从零开始python 安装那一步最容易踩的坑是“装完了但命令行敲 python 提示找不到命令”绝大多数情况都是因为安装时没有勾选 Add Python to PATH。这一步一定记得勾上后面能少很多麻烦。如果是在 Linux 系统上安装 Python一般系统会自带一个 3.x但有些老版本发行版默认的还是 2.x 时代的环境。我习惯用包管理器装一个独立的 Python 3比如 Debian/Ubuntu 下常见的apt install python3 python3-pip python3-venv装完先python3 --version确认版本再which python3看看路径。千万不要直接去删系统自带的 Python很多系统工具依赖它删了容易把系统搞坏。1.2 VSCode、解释器与虚拟环境编辑器我用的 VSCode算是目前 python 入门用户里选得最多的一套组合。热词里经常刷到“vscode python环境配置”这块我实测下来真正的关键点其实只有三处。第一装完 Python 插件后要用命令面板CtrlShiftP执行 Python: Select Interpreter选到你自己装的那个解释器而不是让 VSCode 自己猜。这里很容易被坑如果你之前装过 AnacondaVSCode 可能默认选到 conda 环境导致在终端里跑的包和编辑器里跑的包不是同一个解释器。第二项目目录下建一个虚拟环境。python -m venv .venv然后在 VSCode 里选择这个 .venv 的解释器。这样做的好处是项目依赖和系统环境隔离以后不管怎么折腾都不会影响全局。第三推荐装 Python Docstring Generator 和 Error Lens 这两个插件前者帮你自动生成 docstring后者把错误提示直接显示在代码行尾对新手排查问题非常友好。这个项目只用标准库所以不用配 requirements.txt但如果以后要加第三方库记得用pip list看一眼当前环境别装错了地方。1.3 项目边界做一款命令行小工具我一开始想得很宏大要不要做个 Web 页面要不要存数据库记录用户密码风险后来我强行把范围收住了——第一版只做命令行工具用 input 交互输出强度评级和建议。原因很简单第一个项目最重要的不是功能多而是能把“从输入到输出”这条链路完整跑通。把核心逻辑写清楚以后加 Web 壳子、加 API 接口都是水到渠成的事。如果一上来就搭 Flask、搭前端注意力全被框架带走了反而学不到 Python 本身的东西。我把项目拆成三个功能模块密码检测与分析输入一个密码识别长度、字符类型、重复模式、常见弱密码强度评估基于评分规则和信息熵给出等级安全建议根据缺失项生成可操作的改进建议。同时我给自己定了两条硬性规则不存储任何真实密码所有检测都在内存完成全程只用 Python 标准库不引入任何第三方依赖。这两条约束让项目保持轻量也让它真的可以“随手跑起来”。2. 密码强度检测系统的核心设计思路2.1 三种检测方案的对比与选型几乎每一个做密码强度检测的人都会先查一遍现有方案我查完以后发现主流思路大致有三种正则匹配法、规则评分法、信息熵估算法。先说说正则匹配法。它的思路非常直接用正则表达式去匹配密码里有没有大小写、数字、特殊字符匹配得越多就越强。优点是代码非常短一个re.search就完事缺点也很明显它只能告诉你“有哪些字符类型”完全不管长度和模式。比如Ab1!这种四位密码正则一跑“字符类型齐全”很容易被误判成强密码但实际上它短得可怜。规则评分法是在正则的基础上加上了“权重”的概念。长度多少分、包含哪类字符加多少分、有没有连续重复扣多少分最后算一个总分映射到等级。这种方案最常被各种网站和工具采用因为它可控、直观、能针对特定场景调优。缺点是需要你提前把规则设计好规则覆盖不全的时候容易误判比如很常见的password123在纯规则评分下分数可能还挺高。信息熵估算法是另一个流派。借用了信息论里“熵”的概念用密码长度 × log2(字符集大小)来估算密码被暴力破解需要尝试的次数熵值越高越安全。这种方法在评估长密码时非常科学但它有一个盲区它对abcdefghijklmnop这种长度很长的连续字母序列也会给出高分数而实际上这种密码很容易被字典攻击命中。我最终选择的是“规则评分 信息熵辅助 黑名单兜底”的混合方案。规则评分负责回答“你这个密码缺什么”熵值负责回答“你这个密码的理论复杂度是多少”黑名单负责拦截那些人类一眼就能猜到的傻瓜密码。三条腿走路虽然代码量比单用正则多了些但准确率和可解释性都上了一个台阶而且很自然地支撑起了“安全建议”这个输出模块。2.2 评分维度、权重与等级划分评分模型是我花时间最多的地方。我先把所有能想到的维度列出来再逐个调权重最后确定了下面这套规则评分维度分值规则上限设计理由长度每 1 位加 4 分30 分长度是防暴力破解最核心的因素但超过一定长度后边际收益递减字符种类数每多一种类型加 10 分30 分覆盖大小写、数字、特殊字符的密码有效扩大字符集大小写字母小写大写总数量12 分鼓励混合大小写但权重不能太高避免四两拨千斤数字每个数字 2 分8 分数字能提升熵值但纯数字密码仍然很弱特殊字符每个特殊字符 4 分20 分特殊字符是最稀缺的字符集合权重可以高一些重复字符出现连续 3 位及以上重复字符-10 分可预测性强容易被模式匹配攻击键盘连续序列出现 qwer、asdf、1234 等序列-10 分常见弱密码模式人很容易随手打出来黑名单命中命中常见弱密码库强制压到 20 分以下一票否决再长再复杂出现在黑名单里就是弱密码最终分数用max(0, min(100, score))收拢到 0 到 100 的区间然后映射到五个等级最终得分强度等级表现0 - 20非常弱几乎不具备任何安全性第一时间要换21 - 40弱容易被工具快速破解需要明显加强41 - 60中等有一定基础强度但还达不到安全要求61 - 80强可应对常见攻击场景建议继续保持81 - 100非常强复杂度很高短期暴力破解成本非常大这套权重不是拍脑袋定的我核心的思路是“长度和字符种类数决定基本面特殊字符做增量重复模式和黑名单做风险兜底”。实操中你会发现Abc123!这种密码大概在 60 分出头的“强”和“中等”之间徘徊这其实是合理的结果——它确实比单一大写字母好太多但又没有特别出色。2.3 安全建议系统的生成逻辑有了评分还不够很多人看到“强度弱”以后并不知道下一步该怎么办。安全建议系统的作用就是把评分细节翻译成人话。我设计建议的逻辑非常简单检测结果里哪一项不达标就针对哪一项给提示。比如长度不满 12 位就提示“建议增加到 12 位以上”没有大写字母就提示“加入至少 1 个大写字母”字符种类少于 3 种就提示“混合大小写、数字和特殊字符”命中黑名单或键盘序列就直接告诉用户“这个密码属于常见弱密码必须更换”。除了这些针对性建议我还加了两条通用安全建议一是提醒用户不要在多平台复用同一个密码二是推荐使用密码管理器。这两条建议跟强度评分没有直接关系但它是整个“安全建议系统”里最有价值的部分因为很多用户面临的真实问题不是“密码不够强”而是“所有网站都用同一个密码”。在具体措辞上我也做了点优化。早期版本我直接输出“检测到小写字母 0 个”后来发现这种话术太生硬改成了“建议加入至少 1 个小写字母例如 abc”。给用户可执行的动作比给一堆数据统计要有用得多。3. 完整代码实现与关键环节拆解3.1 主程序框架与输入输出层整个项目只有一个文件我命名为password_checker.py。完整的结构分成四块分析函数、熵值计算函数、建议生成函数、主交互循环。先看主程序框架import re import math import sys COMMON_PASSWORDS { 123456, 123456789, 12345678, 12345, qwerty, password, password1, 1234567, 123123, admin, letmein, welcome, monkey, dragon, iloveyou, abc123, football, jordan, sunshine, princess, superman, michael, fuckyou, qq123456 } KEYBOARD_SEQUENCES [ 123, 234, 345, 456, 567, 678, 789, qwe, wer, ert, rty, tyu, yui, uio, iop, asd, sdf, dfg, fgh, ghj, hjk, jkl, zxc, xcv, cvb, vbn, bnm ] def analyze_password(password: str) - dict: # 核心分析逻辑下面展开 pass def calculate_entropy(password: str) - float: # 信息熵计算 pass def get_security_level(score: int) - str: if score 20: return 非常弱 if score 40: return 弱 if score 60: return 中等 if score 80: return 强 return 非常强 def generate_suggestions(info: dict) - list: # 建议生成 pass def main(): print( * 40) print(密码强度检测与安全建议系统) print(支持大小写字母、数字、特殊字符) print(输入 q 或 quit 退出程序) print( * 40) while True: password input(请输入要检测的密码: ).strip() if password.lower() in (q, quit, exit): print(已退出再见。) break if not password: print(密码不能为空请重新输入。) continue info analyze_password(password) entropy calculate_entropy(password) level get_security_level(info[score]) print_results(info, entropy, level) print()这里我想特别强调一下password.lower()的写法。input 返回的一定是字符串而用户可能输入大写 Q 或者 Quit直接比较password q会在用户输入大写的 Q 时退出失败所以要先做一次字符串方法转换。这就是 Python 入门里常说的类型转换在实际项目中的一次小应用没有任何高深的技术但少了它体验就会很差。3.2 检测函数实现正则、计数与扣分接下来是核心的分析函数。这里用了大量re.findall来统计各类字符用正则表达式的原始字符串写法避免转义问题再用集合去重判断字符种类数。我把每一个得分项都注释清楚方便自己以后维护也方便读代码的人理解权重设计。def analyze_password(password: str) - dict: lower_count len(re.findall(r[a-z], password)) upper_count len(re.findall(r[A-Z], password)) digit_count len(re.findall(r\d, password)) symbol_count len(re.findall(r[^a-zA-Z0-9], password)) length len(password) char_types 0 if lower_count: char_types 1 if upper_count: char_types 1 if digit_count: char_types 1 if symbol_count: char_types 1 score 0 score min(length * 4, 30) score min(char_types * 10, 30) score min(lower_count upper_count, 12) score min(digit_count * 2, 8) score min(symbol_count * 4, 20) lowered_pwd password.lower() if lowered_pwd in COMMON_PASSWORDS: score min(score, 20) if re.search(r(.)\1{2,}, password): score - 10 for seq in KEYBOARD_SEQUENCES: if seq in lowered_pwd: score - 10 break score max(0, min(100, score)) return { length: length, lower: lower_count, upper: upper_count, digit: digit_count, symbol: symbol_count, types: char_types, is_common: lowered_pwd in COMMON_PASSWORDS, score: score }这段代码里有两个细节非常重要。第一个是黑名单判断我用的是lowered_pwd in COMMON_PASSWORDS这意味着密码先统一转成小写再查表用户输入PASSWORD也能被识别出来。第二个细节是连续重复字符的正则(.)\1{2,}它的含义是“任意一个字符后面跟着同样的字符至少两次”也就是至少三位连续重复。像aaa、111、都会命中但aa不会因为两位重复在很多长密码里是可接受的。正则表达式本身是新手最容易写错的地方。这里的r[^a-zA-Z0-9]用到了原始字符串前缀r如果你不加这个前缀\d里的反斜杠在普通字符串里可能会被解释成转义字符运行结果会完全对不上。3.3 信息熵计算与常见弱密码黑名单信息熵这一段我用了信息论里最基本的公式熵 长度 × log2(字符集大小)。字符集大小按检测到的字符类型估算小写字母算 26 种大写字母算 26 种数字算 10 种特殊字符算 32 种。这个估算还比较粗略但足够用于给普通用户展示“理论破解难度”。def calculate_entropy(password: str) - float: pool 0 if re.search(r[a-z], password): pool 26 if re.search(r[A-Z], password): pool 26 if re.search(r\d, password): pool 10 if re.search(r[^a-zA-Z0-9], password): pool 32 if len(password) 0 or pool 0: return 0 return round(len(password) * math.log2(pool), 2)这里有个很容易被忽略的点如果密码是空字符串len 是 0math.log2(0)会直接抛异常。我加了len(password) 0的保护在前后面才做乘除运算。这个顺序看起来很初级但在真实项目里这种边界条件就是最容易被测出来的 bug。我把熵值和规则评分分开输出而不是强行合并成一个分数。因为两者表达的信息维度不一样熵值代表理论强度规则评分代表“看起来像不像一个安全密码”。random123的熵值不低因为它既有字母又有数字长度也够但它的规则评分会被黑名单和键盘序列扣分用户看到两个指标后能更直观地理解差距在哪。黑名单这里我多说一句。这个集合不可能覆盖所有弱密码本质上是“已知风险名单”覆盖的只是最高频的一批。我在代码里加了is_common状态如果命中了黑名单不管后面加多少分总分强制压到 20 分以内。这种“一票否决”的逻辑比单纯扣分更强硬因为它承认了某些密码模式不管怎么变本质都是不安全的。3.4 安全建议函数与交互循环建议生成函数是面向用户最主要的输出模块。我按长度、字符类型、大小写、数字、特殊字符、黑名单、键盘序列这几个维度逐项检查每发现一个问题就生成一条建议。最后如果密码已经很强就给一条正向奖励同时附加两条通用安全提示。def generate_suggestions(info: dict) - list: advice [] if info[length] 8: advice.append(密码长度不足 8 位建议至少增加到 12 位以上。) elif info[length] 12: advice.append(密码长度达到基本线但仍建议扩展到 12 位以上。) if info[types] 2: advice.append(字符种类过少建议混合使用大小写字母、数字和特殊字符。) if info[types] 4 and info[length] 8: advice.append(要更强的话建议凑齐 4 类字符尤其是加入特殊字符。) if info[lower] 0: advice.append(建议加入至少 1 个小写字母例如 a、b、c。) if info[upper] 0: advice.append(建议加入至少 1 个大写字母例如 A、B、C。) if info[digit] 0: advice.append(建议加入至少 1 个数字例如 3、7、9。) if info[symbol] 0: advice.append(建议加入至少 1 个特殊字符例如 、#、!。) if info[is_common]: advice.append(该密码命中常见弱密码库必须更换不能再继续使用。) if re.search(r(.)\1{2,}, .join([ * ])): # 占位具体检测放主流程 pass if not advice: advice.append(当前密码强度很好继续保持这个复杂度水平。) advice.append(提醒请勿在多个平台复用同一个密码。) advice.append(推荐使用密码管理器生成并保存高强度随机密码。) return advice这里我犯过一个明显的冗余错误把短横线当成装饰在函数内部又写了一行永远不执行的占位逻辑。后来清理代码时发现这种“看似有逻辑实则没逻辑”的残骸最容易让后来读代码的人困惑。上面的版本我直接去掉那几行占位代码让每个建议和info中的字段一一对应。检查是否出现三位重复字符的正确做法是把analyze_password里检测到的结果存进info后续直接从info里取状态而不是在建议函数里重新匹配一遍。主交互循环这里我用了一个while True加break的结构。这是命令行工具里最常用的交互模式实现起来简单用户体验也清晰。每轮检测完以后我用一个分隔空行把上一轮的内容和下一轮输入隔开避免输出堆积在一起。为了让输出结果更好看我写了一个简单的print_results函数把评分、等级、熵值和建议统一格式化输出。我不建议新手在这一步花太多时间折腾终端颜色库因为颜色码在不同平台的表现不一致Windows 上还可能显示成乱码老老实实用纯文本把信息说明白就足够了。4. 实操过程与测试记录4.1 典型样例的运行效果代码写完以后我先拿一批人工造的用例跑了一遍。测试最重要的一点是不要只测“看起来很强”的密码还要测“看起来很强但其实很弱”的密码。我准备的测试集包括abcdef、12345678、password123、Abc12345、Tr0ub4dour3、9f#Kp2$vXq7!LmZ这六组覆盖了从非常弱到非常强的大部分梯度。实测输出大致长这样请输入要检测的密码: password123 长度: 11 小写字母: 8大写字母: 0数字: 3特殊字符: 0字符种类: 2 评分: 12 / 100 强度等级: 非常弱 信息熵: 55.13 bits 检测结果该密码命中常见弱密码库必须更换不能再继续使用。 安全建议: - 建议加入至少 1 个大写字母例如 A、B、C。 - 建议加入至少 1 个特殊字符例如 、#、!。 - 提醒请勿在多个平台复用同一个密码。 - 推荐使用密码管理器生成并保存高强度随机密码。注意password123的长度并不短字符种类也有字母和数字两类如果只看熵值它会拿到 55 位左右的熵看起来“还行”。但黑名单一票否决把它压到了 12 分这个输出在很多讨论密码安全的博文里经常被当成反面案例我的实测也再次验证了这个判断——光看熵值不查黑名单确实会漏掉一批最危险的密码。再看一个真正复杂的样例请输入要检测的密码: 9f#Kp2$vXq7!LmZ 长度: 16 小写字母: 4大写字母: 4数字: 2特殊字符: 3字符种类: 4 评分: 98 / 100 强度等级: 非常强 信息熵: 101.12 bits 安全建议: - 当前密码强度很好继续保持这个复杂度水平。 - 提醒请勿在多个平台复用同一个密码。 - 推荐使用密码管理器生成并保存高强度随机密码。这个密码能拿高分不奇怪16 位长度、四类字符齐全、没有重复序列、没有命中黑名单。重要的是它在建议里出现了“不要在多个平台复用同一个密码”这条通用建议说明安全建议系统不只是在做“挑毛病”还会给出正向的用户教育。4.2 边界情况与异常输入处理测试完正常密码我开始攻击自己的程序。第一轮就发现一个问题输入空密码直接回车程序会抛 ValueError。原因是我在analyze_password之前就调用了input().strip()空字符串传到后面所有正则里面不会报错但建议生成和熵值计算对空字符串的处理并不完善。修复方式是在主循环里明确判断if not password先挡掉空输入。第二轮我重点测试了纯数字和纯字母。123456789这次很顺利地被黑名单拦下但abcdefghijk这种长字母串在黑名单里是没有的它最终拿到了大约 60 分左右的“中等”评级。这个结果我能接受因为它长度够、没有重复模式风险确实比password低但建议里也会提醒用户增加更多字符种类。第三轮我试了中文字符密码。正则[^a-zA-Z0-9]会把中文也算作特殊字符所以我爱python会被识别成“有特殊字符”这个判定在纯技术层面说得通但从安全角度有点误导人。我在注释里加了一条说明建议后续版本针对中文场景单独设计字符集不过作为入门项目这个误差可以接受。第四轮我试了超长密码比如 200 位随机字符串。程序能跑完评分封顶在 100熵值也很高但由于黑名单查表和正则是线性的速度没有明显变慢。真正让我意外的是终端表现200 位密码粘贴进去以后命令行的换行显示把输入搞得很乱导致我误以为程序卡死了。后来我把输出宽度控制在 40 个字符以内又加了一行提示“密码显示会被截断但检测使用完整输入”这个问题才算缓解。4.3 格式与代码风格调整代码能跑通之后我花了大概二十分钟做格式调整和代码风格梳理。这步看起来不影响功能但非常值得做尤其对第一个项目来说它是养成良好编码习惯的关键节点。我主要做了四件事第一把所有函数加上文档字符串用一句话说清楚入参、出参和主要逻辑第二把魔数全部替换成有名字的常量比如把min(length * 4, 30)里的 30 抽成MAX_LENGTH_SCORE避免以后调权重时找半天第三把输出格式统一封装成print_results函数主循环里不再散落大量print第四删掉调试时留下的临时变量和占位代码这些残骸在第三轮测试里已经坑过我自己一次了。代码风格这一步我还发现了一个很有意思的问题最初我把键盘序列列表写在函数内部每次调用都会重新创建一次列表。后来把它挪到模块顶层的KEYBOARD_SEQUENCES常量里既避免重复创建又方便以后扩充序列。虽然性能差异微乎其微但这个“把不变量提到函数外”的思路在更大的项目里会直接影响可维护性。5. 常见问题速查与排错记录5.1 环境、编码与运行问题问题现象原因分析解决方案命令行运行报 No module named re把项目文件命名为re.py或math.py与标准库重名把文件改名比如password_checker.pyVSCode 运行时报 ModuleNotFoundError 但终端能跑VSCode 选择的解释器跟终端不是同一个环境用 CtrlShiftP 重新选择解释器指向项目 .venvWindows 控制台输出中文乱码终端默认编码不是 UTF-8在代码文件头部加# -*- coding: utf-8 -*-并调整终端代码页或者直接换用 VSCode 终端运行打印的 emoji 符号显示成空白或乱码部分老终端不支持彩色符号移除所有非文本装饰字符改用普通文本和分隔线输入密码后按回车程序没反应密码里有尾随空格或不可见字符用.strip()去掉首尾空白必要时也去掉\r、\tpython命令找不到Windows 安装时未勾选 Add to PATH重装 Python 并勾选该选项或手动配置环境变量这里面最坑的是第一个问题。我在测试时随手把文件命名成了re.py结果一运行就报ModuleNotFoundError: No module named re因为我自己的文件把标准库re模块遮蔽了。这个错误版本一到版本二阶段特别容易遇到搞明白之后你会对 Python 模块搜索顺序有很直观的理解。5.2 逻辑、正则与性能问题正则表达式这块新手最容易错的是漏掉原始字符串前缀。写re.search(\d, password)的时候Python 会把\d当成普通字符串里的d正则匹配结果完全失准。统一改用r\d之后这个问题一次性解决。逻辑层面的一个大坑是黑名单的大小写问题。我最初的黑名单集合只存了小写用户输入PASSWORD1时查表不会命中但实际上PASSWORD1和password1的强度一样低。修复方法就是统一转小写再查lowered_pwd password.lower()。重复字符检测(.)\1{2,}还有一个容易被忽视的行为它对aaaa会命中对aaa也会命中但如果你只想检测“恰好三位重复”这个写法会误伤更长的重复序列。在我的设计里只要出现三位及以上重复就算扣分所以没问题。如果你的需求不一样就要把正则改成更严格的边界判断。性能方面黑名单查表用的是集合in操作平均时间复杂度是 O(1)很稳定。键盘序列检测用的是遍历列表并做子串匹配列表很短几十个元素性能完全没问题。如果以后黑名单涨到几万条、键盘序列涨到上千条可以改用 Aho-Corasick 之类的多模式匹配算法但现阶段完全没必要。5.3 整个项目的踩坑复盘复盘整个项目我最想提醒后来者的是不要在一开始就追求“完美的强度模型”。我第一版花了一整晚调权重想让每一个测试密码的评分都符合直觉结果越调越焦虑。后来我意识到评分模型的价值不在于“绝对正确”而在于“稳定、可解释、能给出有效建议”。只要同一个密码每次跑出来结果一致只要用户能根据建议把密码改强这套系统就是成功的。另一个让我印象深刻的点是命令行工具的体验比我想象的重要。用户输入密码时看不到任何反馈如果程序处理慢一点用户就会焦虑是不是卡住了。我在主循环里加了“正在分析...”的提示虽然是模拟过程但体验立刻顺滑了很多。还有一点是关于密码本身的。开发这个项目的过程其实是不断复习“什么是强密码”的过程。写黑名单的时候我发现123456789、qwerty、password这些密码出现的频率远超想象而很多人还在把它们当主力密码用。这个项目虽然技术上不复杂但做完以后我自己的密码习惯也变好了这算是一个挺有价值的副产物。根据我个人实际操作的体会做这种小型工具项目最核心的不是算法多巧妙而是把“输入、处理、输出”这条链路走完整再不断用真实用例去捶打它。每发现一个漏洞就修一个每修完一个就再想一个极端输入去试这个循环本身就是编程能力提升最快的路径。最后再分享一个小技巧如果你想让这个项目继续扩展下一步可以尝试把它封装成 HTTP 接口或者用 Flask 做个简单的网页版这样手机和电脑就都能用了。检测逻辑和评分模型已经写得很清楚复用起来非常顺手。