如何编写密码生成脚本

wen 实用脚本 2026-07-01 29

从零开始的完整指南

目录导读

为什么需要自己编写密码生成脚本？
密码生成脚本的核心设计原则
主流编程语言的实现方案（Python/Shell/Node.js）
安全性与随机性：如何避免常见陷阱？
实战问答：常见问题与解决方案
扩展建议：让脚本更智能

为什么需要自己编写密码生成脚本？

Q: 市面上已有密码管理器，为何还要自己编写脚本？
A: 密码管理器通常依赖第三方服务，而自建脚本可完全离线运行，避免云存储泄露风险，企业环境中常需批量生成合规密码（如IT审计要求）,自研脚本能灵活调整字符集合与长度规则。

如何编写密码生成脚本

核心优势：

可控性：自定义排除易混淆字符（如1和l、0和O）
审计合规：按NIST SP 800-63标准生成不可预测密码
批量生成：30秒内生成1000个符合策略的密码

密码生成脚本的核心设计原则

Q: 一个「好」的密码生成脚本应满足哪些标准？
A: 遵循「三必须」原则：

必须使用加密级随机数：避免 Math.random()（伪随机），改用 os.urandom() 或 secrets 模块
必须保证字符分布均匀：避免完全随机导致无数字、无符号的弱口令
必须避免可预测模式：禁用按顺序递增/递减的排列（如 abcdef）

安全设计公式：
密码强度 = 字符集大小 ^ 密码长度
建议：密码长度≥12位，字符集至少包含大小写字母+数字+特殊符号（共90+字符）

主流编程语言的实现方案

Python（推荐，安全与简洁并存）

import secrets
import string
def generate_password(length=16):
    # 字符集：大小写+数字+符号
    chars = string.ascii_letters + string.digits + "!@#$%^&*"
    # 强制至少包含一个数字和特殊字符
    password = [
        secrets.choice(string.digits),
        secrets.choice("!@#$%^&*")
    ]
    password += [secrets.choice(chars) for _ in range(length - len(password))]
    # 打乱顺序避免数字/符号固定位置
    secrets.SystemRandom().shuffle(password)
    return ''.join(password)
print(f"生成的密码: {generate_password(16)}")

Shell脚本（适合Linux运维）

#!/bin/bash
PASSWORD=$(openssl rand -base64 12 | tr -d '/+=' | head -c 16)
echo "Shell生成的密码: $PASSWORD"

Node.js（Web开发友好）

const crypto = require('crypto');
function generatePwd(length=16) {
    const chars = 'abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ0123456789!@#$%^&*';
    let pwd = '';
    while (pwd.length < length) {
        pwd += chars[crypto.randomInt(0, chars.length)];
    }
    return pwd;
}
console.log(`Node.js密码: ${generatePwd(16)}`);

安全性与随机性：如何避免常见陷阱？

Q: 为什么不能直接用 随机.选择() 生成密码？
A: 普通伪随机数生成器（PRNG）存在周期性和可预测性风险，攻击者若获取一段输出，可能预测后续密码。
正确做法：

使用操作系统提供的加密随机源（如Python的secrets模块、/dev/urandom）
每次生成后刷新随机种子
禁止在日志或错误输出中打印密码原文

常见陷阱自查表：
| 问题 | 后果 | 解决 | |------|------|------| | 字符集不含特殊符号 | 易被字典攻击 | 加入!@#$%^&* | | 密码长度固定 | 标准化攻击 | 允许12-20位随机 | | 使用系统时间做种子 | 可穷举 | 用硬件随机源 |

实战问答：常见问题与解决方案

问：生成的密码总包含难分辨字符（如 0Oo），如何优化？
答：定义排除列表：

EXCLUDE = '0Oo1Il|'
chars = [c for c in chars if c not in EXCLUDE]

问：需要批量生成1000个密码，如何保留到文件？
答： Python一行输出：

python -c "import secrets as s;print('\n'.join([''.join(s.choice('abcABC123!@#') for _ in range(16)) for _ in range(1000)]) )" > passwords.txt

问：如何验证生成的密码是否违反企业策略？
答：添加策略检查函数：

def is_strong(pwd):
    return (any(c.isupper() for c in pwd) and 
            any(c.islower() for c in pwd) and 
            any(c.isdigit() for c in pwd) and 
            any(c in '!@#$%^&*' for c in pwd))

问：脚本是否可作为API提供服务？
答：可以，但务必添加速率限制（如每分钟最多生成5次）,避免被用于暴力破解攻击。