密码强度审计器

要解决的问题

密码复杂度规则越来越长，但登录被撞库和离线破解的风险并没有因此消失。团队和个人都缺一把一致的尺子：这个密码到底算强还是弱，哪里在拖后腿，下一步该怎么改，而不是只丢一句“不够安全”。另一个现实是，把待评估密码发到第三方网页心里也会犯嘀咕。

技能如何工作

该技能把评估限定在本地。核心能力是先由 scripts/audit.py 计算密码熵并识别常见弱点；再按 references/checklist.md 给出可操作的加固方向。

• 核心能力

- 估计密码熵，给出强度基线
- 指出重复字符、连续字符、常用口令片段等弱点
- 输出更抗字典攻击和暴力破解的改法

• 关键步骤

1. 先提示只在本地输入，不要把明文发到聊天之外
2. 调用 scripts/audit.py 完成计算
3. 结合 references/checklist.md 给出建议
4. 收尾强调使用密码管理器和 2FA

适用边界与注意点

这里评估的是强度，不是是否已经泄露；不要当成合规认证或绝对安全保证。出于避免外发密码的考虑，本技能不会连接 HaveIBeenPwned 之类的外部泄露库。如果需要泄露状态，请在可信网站自行查询。所有路径都按技能目录相对路径处理，便于跨客户端运行。