密码强度检查

在注册、修改密码或接入认证流程时，最常见的矛盾是：安全策略希望用户使用强密码，用户又难以判断“password123”到底哪里不够。如果把规则写成硬编码，又会碰到规则互相打架、提示文案生硬、不同业务场景解释不清的问题。密码强度检查（@user_cb37ec27/dw-password-check）尝试用大模型技能的方式，把这件事从“只做正则校验”往前推一步：不仅判断强弱，还给出可理解、可执行的改进方向。

它解决什么问题

弱密码通常不只是长度不足，还包括模式重复、键盘序列、常用词组合、个人信息关联等问题。传统规则能拦截一部分明显弱口令，但规则维护成本高，且很难生成面向具体密码的解释。另一侧，用户看到一句“密码不符合要求”时，通常不知道下一轮该怎么改，容易反复试错，也容易转向简单可预测的组合。

这个技能的目标，是把密码检查结果变成用户能读懂的反馈：先指出强度判断，再说明为什么不够强，最后给出可以落地的修改方向。

工作方式

技能的核心能力可以拆成两层：

• 强度评估：对候选密码做安全性判断，输出强弱结论，而不是只返回“通过 / 不通过”。
• 改进建议：围绕该密码给出可执行的修改提示，例如增加复杂度来源、避免常见替换规则、不要复用近期密码等。

关键步骤大致是：

1. 将候选密码作为待分析输入交给技能。
2. 技能基于上下文理解密码中可能存在的风险特征，并形成强度结论。
3. 结合结论输出改进建议，供用户直接调整。

这类方式的价值在于解释性和灵活性：同一个结果可以根据业务语境生成不同提示，而不需要在每个入口重复堆叠规则文案。

适用边界与注意点

这个技能更适合作为注册、改密、找回流程中的辅助检查，而不是把安全责任全部交给一段提示词。需要注意：

• 它不是密码学验证器，不能替代密码哈希、存储、轮转、泄露密码库比对等后端机制。
• 密码属于敏感输入。调用时应控制日志记录范围，避免把明文密码写进日志、追踪链路或客服记录。
• 大模型输出需要被业务方审查，尤其是面向用户展示时，应避免生成不必要的技术细节、诱导性措辞或虚假承诺。
• 如果产品已有明确的密码策略，技能输出应作为解释层或建议层，而不是覆盖策略。
• 它适合解释“为什么弱”和“如何变强”，但不应被当作合规性证明，也不应替代风险策略、账户锁定、异常登录检测等整体安全设计。