security - 密码需要特殊字符与密码可选特殊字符

Question

为什么要求密码包含特殊字符、大小写字母以及数字时会被认为更安全？允许而不是要求这些字符不是更安全吗？

假设有人想要破解密码，如果他们已经知道该密码包含至少 1 个特殊字符、1 个大小写字母和 1 个数字，那么对他们来说不是更容易吗？因为这是必需的。如果允许而不是必需，密码是否可能包含这些字符？

Answer 1

它被认为是安全的，可以抵御字典攻击等多种攻击。由于字典攻击来自常见单词的单词表。如果密码符合标准，最好在前端和后端都要求这些规则并进行验证。

在开发中，您可以使用位于此处的 OWASP ASVS:https://github.com/OWASP/ASVS/blob/master/4.0/en/0x11-V2-Authentication.md

有一个 list ，例如:

1. 验证用户设置的密码长度是否至少为 12 个字符。
2. 验证是否提供了密码强度计来帮助用户设置更强的密码。

如果您遵循 OWASP 等一些标准，那么保护您的身份验证将会很好。