在Java项目开发中，用户密码的安全性直接关系到整个系统的安全基线，很多场景下需要限制用户设置过于简单的密码，这就需要实现一套完善的密码强度校验机制。结合正则表达式匹配字符特征，再通过动态得分计算划分强度等级，是业内常用的实现方案。
密码强度校验的通用规则
常见的密码强度校验规则通常包含以下几个维度，我们可以基于这些维度设计校验逻辑：
- 密码长度：最短长度不低于8位，最长不超过20位
- 字符类型：包含小写字母、大写字母、数字、特殊字符中的至少两种
- 连续字符限制：不允许出现3位及以上连续的数字或字母
- 重复字符限制：不允许出现3位及以上重复的字符
正则表达式在字符匹配中的应用
正则表达式可以高效匹配密码中是否包含对应类型的字符，我们可以针对不同的字符类型编写对应的正则规则：
基础字符类型匹配正则
以下是各类字符的匹配正则说明：
| 字符类型 | 正则表达式 | 说明 |
|---|---|---|
| 小写字母 | [a-z] | 匹配任意一个小写英文字母 |
| 大写字母 | [A-Z] | 匹配任意一个大写英文字母 |
| 数字 | [0-9] | 匹配任意一个阿拉伯数字 |
| 特殊字符 | [!@#$%^&*()_+-=] | 匹配常见的特殊符号 |
长度校验正则
密码长度的正则可以直接通过量词实现，比如校验8到20位长度的密码：
// 校验密码长度在8到20位之间
String lengthRegex = "^.{8,20}$";
动态得分计算逻辑实现
我们可以给不同的校验维度设置对应的得分，最后累加总分来划分密码强度等级，得分规则可以参考以下设计：
- 长度得分：长度每多1位加2分，最高加10分
- 字符类型得分：包含小写字母加10分，包含大写字母加10分，包含数字加10分，包含特殊字符加15分
- 连续字符扣分：存在3位及以上连续数字或字母扣10分
- 重复字符扣分：存在3位及以上重复字符扣10分
得分等级划分
根据最终得分划分强度等级：
- 得分低于20分：弱密码
- 得分20到35分：中等密码
- 得分高于35分：强密码
完整Java实现代码示例
以下是完整的密码强度校验工具类实现，包含正则匹配和动态得分计算逻辑：
import java.util.regex.Pattern;
public class PasswordStrengthChecker {
// 小写字母正则
private static final Pattern LOWER_CASE_PATTERN = Pattern.compile("[a-z]");
// 大写字母正则
private static final Pattern UPPER_CASE_PATTERN = Pattern.compile("[A-Z]");
// 数字正则
private static final Pattern DIGIT_PATTERN = Pattern.compile("[0-9]");
// 特殊字符正则
private static final Pattern SPECIAL_CHAR_PATTERN = Pattern.compile("[!@#$%^&*()_+\-=]");
// 连续3位及以上数字正则
private static final Pattern CONSECUTIVE_DIGIT_PATTERN = Pattern.compile("(\d)\1{2,}");
// 连续3位及以上字母正则
private static final Pattern CONSECUTIVE_LETTER_PATTERN = Pattern.compile("([a-zA-Z])\1{2,}");
// 重复3位及以上字符正则
private static final Pattern REPEAT_CHAR_PATTERN = Pattern.compile("(.)\1{2,}");
/**
* 校验密码强度并返回强度等级
* @param password 待校验的密码
* @return 强度等级：弱、中等、强
*/
public static String checkPasswordStrength(String password) {
// 先校验基础长度
if (password == null || password.length() < 8 || password.length() > 20) {
return "密码长度需要为8到20位";
}
int score = 0;
// 长度得分：每多1位加2分，最高10分
int lengthExtra = password.length() - 8;
score += Math.min(lengthExtra * 2, 10);
// 字符类型得分
if (LOWER_CASE_PATTERN.matcher(password).find()) {
score += 10;
}
if (UPPER_CASE_PATTERN.matcher(password).find()) {
score += 10;
}
if (DIGIT_PATTERN.matcher(password).find()) {
score += 10;
}
if (SPECIAL_CHAR_PATTERN.matcher(password).find()) {
score += 15;
}
// 连续字符扣分
if (CONSECUTIVE_DIGIT_PATTERN.matcher(password).find() || CONSECUTIVE_LETTER_PATTERN.matcher(password).find()) {
score -= 10;
}
// 重复字符扣分
if (REPEAT_CHAR_PATTERN.matcher(password).find()) {
score -= 10;
}
// 根据得分返回强度等级
if (score < 20) {
return "弱";
} else if (score <= 35) {
return "中等";
} else {
return "强";
}
}
public static void main(String[] args) {
// 测试示例
String[] testPasswords = {"123456", "abc12345", "Abc12345", "Abc@12345", "AAAabc123"};
for (String pwd : testPasswords) {
String strength = checkPasswordStrength(pwd);
System.out.println("密码：" + pwd + "，强度：" + strength);
}
}
}
功能扩展建议
上述实现是基础版本，实际项目中可以根据需求扩展更多校验规则：
- 增加常见弱密码库匹配，比如禁止用户使用123456、admin等常见弱密码
- 增加密码与用户账号、手机号的关联性校验，避免密码包含用户个人信息
- 可以根据项目安全等级调整得分规则和强度等级划分阈值
通过正则表达式和动态得分计算的结合，我们可以灵活实现不同安全要求的密码强度校验功能，有效提升Java项目的用户密码安全水平。