强密码生成器 — 随机密码与密码短语
生成高强度随机密码、好记的密码短语或 PIN 码。完全在浏览器中运行，不发送、不存储任何内容。
极强 · 约 126 位熵
批量模式：设置“生成数量”，可用相同设置一次生成最多 1,000 个。
使用 crypto.getRandomValues 在你的浏览器中生成，这与浏览器生成加密密钥所用的随机源相同。不会发送给我们，不会保存，也不会记录，密码也不会出现在页面地址中。即使断开网络，它也照样能用。
发现问题，或者觉得哪里可以更好？每条消息我们都会阅读，并尽快修复。
这款免费的密码生成器直接在你的浏览器中生成高强度随机密码、好记的密码短语和 PIN 码。不传输、不存储、不记录任何内容：在你复制之前，密码只存在于你的屏幕上。即使断开网络，工具也照常工作，这就是它不会把你的密码发往任何地方的最简单证明。需要为测试账号或团队部署批量生成？设置“生成数量”，它会用相同设置一次生成最多 1,000 个，每个都独立随机生成，可直接复制或下载为 .txt 或 .csv 文件。
随机性来自浏览器的密码学随机数生成器 crypto.getRandomValues，而不是 Math.random。这一区别比本页上的任何选项都重要。Math.random 的可预测性足以让攻击者在看到几个输出后重建整个序列，用它生成的任何密码都毫无价值。这里的每个字符都在没有取模偏差的情况下抽取，所以每个字符出现的可能性都真正相等。
使用方法
- 选择类型：存在密码管理器中的密码用随机密码，少数必须凭记忆输入的密码用密码短语，设备解锁用 PIN 码。
- 设置长度。随机密码 16 个字符或以上；密码短语 7 个单词或以上，因为短的密码短语比看起来要弱。
- 如果某个网站不接受符号，调整字符集；如果需要手动输入或大声读出密码，开启“避开易混淆字符”。
- 查看强度条下方的熵值。目标是 80 比特或以上；这个数字才真正说明密码有多难猜。
- 复制后直接粘贴到密码管理器中。不要通过邮件发给自己，也不要保存在笔记里。
- 需要多个？设置“生成数量”（最多 1,000），然后全部复制或将列表下载为 .txt 或 .csv。
常见问题
可以一次生成多个密码吗？
可以。把“生成数量”设为最多 1,000 的任意数字，生成器会按当前设置（随机密码、密码短语或 PIN 码）生成相应数量，每个都通过 crypto.getRandomValues 独立生成，并去除完全相同的重复项。可以一次性全部复制，或下载为 .txt 文件（每行一个）或 .csv 文件。和单个密码一样，列表在你的浏览器中生成，绝不会发送到任何地方。对于只有几位数字的 PIN 码，不同的取值可能少于你要求的数量；出现这种情况时工具会提示你。
这个密码生成器安全吗？
密码由 crypto.getRandomValues 在你的浏览器中生成，浏览器生成加密密钥用的也是这个随机源。它绝不会通过网络发送，绝不会被存储，绝不会写入页面地址，也绝不会被记录。你可以断开网络来验证：生成器会继续工作。任何在线生成器都有一个风险，就是页面本身被篡改，所以对于最重要的账号，密码管理器内置的生成器仍然是最安全的选择。
2026 年密码应该多长？
对于存在密码管理器中的密码，使用 16 个字符或以上的随机文本。NIST SP 800-63B 第 4 版建议，在密码是唯一认证因素时，长度至少为 15 个字符，并表示系统应至少接受 64 个字符。长度比复杂度有效得多：一个只有小写字母的 16 位密码，比一个包含大小写字母、数字和符号的 8 位密码难猜得多。
密码短语比随机密码更好吗？
对于少数必须凭记忆输入的密码，例如设备登录密码和密码管理器的主密码，密码短语更好。NIST 明确认可密码短语。从本工具 1,169 个单词的词表中生成的七个单词的密码短语约有 71 比特熵，好记又难猜，而 20 个字符的随机字符串两样都做不到。其他所有情况，都用随机密码，让密码管理器替你记住。
熵值是什么意思？
以比特为单位的熵值衡量的是攻击者需要猜多少次。每增加 1 比特，所需次数就翻一倍。对于泄露的密码数据库遭受的离线攻击，低于 45 比特就算弱；80 比特就很稳妥；超过 100 比特则超出任何可预见的暴力破解能力。它比常见的彩色强度条更诚实——那种强度条常常因为“P@ssw0rd!”含有符号就给它加分，却忽略了它是世上被猜得最多的密码之一。
应该每 90 天换一次密码吗？
不应该，NIST 现在也建议不要这样做。强制定期更换会促使人们做出微小而可预测的改动（Summer2025、Summer2026），密码反而更容易被猜到。当前的建议是每个账号使用一个很长的独立密码，只有在有证据表明密码泄露时（例如收到数据泄露通知）才更换。
用了这个工具，还需要密码管理器吗？
需要。生成器只解决一个问题：生成一个难以猜测的密码。密码管理器解决的是更难的问题：为每个账号设置不同的强密码，而一个都不用记。生成一个强密码然后到处重复使用，只要其中任何一个网站被攻破，你就会暴露。
长度胜过复杂度，而且差距悬殊
“一个大写字母、一个数字、一个符号”这条老建议来自密码普遍很短的年代。它生成的密码人记不住，攻击者却猜得到，因为每个人满足规则的方式都一样：首字母大写，数字和感叹号放在末尾。
比较一下实际的猜测空间。使用大小写字母、数字和符号的 8 位密码约有 52 比特熵。只用小写字母的 16 位密码约有 75 比特。后者大约难猜八百万倍，而且输入起来更容易。
这就是为什么 NIST SP 800-63B 第 4 版取消了强制的字符组成规则，转而提高了长度建议。如果只从本页记住一件事，那就是：让密码更长，而不是更花哨。
该用哪种类型，什么时候用
• 随机密码，16 到 24 个字符：存在密码管理器中的所有密码，也就是你几乎所有的账号。你从来不用手动输入它们，所以长度对你毫无成本。
• 密码短语，7 个单词或以上：那两三个必须凭记忆输入的密码。词表大小很重要，所以请看比特数，而不要只看单词数。例如密码管理器的主密码、笔记本电脑的登录密码、手机备份密码。
• PIN 码：仅用于设备解锁，硬件会限制攻击者的尝试次数。6 位 PIN 码约有 20 比特熵，面对离线攻击毫无希望，但对付一个拿着你手机、只有三次尝试机会的人则完全够用。
生成器无法解决的问题
强密码只能保护一个账号。它对造成大多数实际入侵的三种失误无能为力：在多个网站重复使用同一个密码，一处泄露就全部失守；网络钓鱼，你亲手交出了密码；以及没有第二重验证，而正是第二重验证让被盗的密码不足以登录。
凡是提供双重验证的地方都开启它，优先使用身份验证器应用或通行密钥（passkey），而不是短信，并且在每个地方使用不同的密码。生成器只是其中的一环，不能替代这些措施。
对企业来说，同样的道理适用于更大的规模：每人一套独立凭据、最小权限访问，以及在员工离职时能在一处撤销其全部访问权限的机制。这正是我们在云基础设施和网络安全项目中所做的访问控制工作。
相关免费工具
- Favicon 生成器 — 把任意 Logo 一键转换成完整的 favicon 图标包——favicon.ico、所有 PNG 尺寸、Apple touch 图标和 webmanifest。
- 在线计算器 — 简洁的 iPhone 风格计算器，支持键盘和数字小键盘。百分比、正负号、历史记录、一键复制——无广告，无需安装。
- 测试文件生成器 — 在浏览器中生成任意精确大小的虚拟文件——1 KB 到 2 GB，随机字节、文本、CSV 或 JSON。