账号安全的第一步，往往是"别用 123456"。这一组工具覆盖从生成密码到生成令牌的常见需求，全部在本地完成，不把敏感串发到任何服务器。

一、密码本身：生成与检测

注册新账号时，密码生成器 按你指定的长度和字符集产出高熵密码，比拍脑袋编的强太多。拿到一个现成密码又拿不准安不安全，密码强度检测 会从长度、字符多样性和常见弱口令几个维度打分，提醒你哪里该补强。

二、开发里的随机与签名

写测试、造数据、设临时令牌，随机字符串生成 能产出指定长度的随机序列，避免手写"abc123"这种伪随机。做接口验签时，HMAC 生成 用密钥对消息算出签名，确认请求没被篡改。给数据库记录、会话或文件起唯一标识，UUID 生成 产出全局不重复的 ID，不用担心撞号。

几条比工具更重要的常识

工具能生成一个好密码，但账号安不安全，往往取决于习惯。

长度比复杂度更管用。加上符号和大小写能提高强度，但每增加一位长度的收益更大。十六位纯小写字母的组合空间，远超八位"大小写加符号"的花哨密码，而且更好记。所以生成密码时，优先把长度拉长。

一码多用是最大的风险。撞库攻击的逻辑很简单：某个小网站泄露了账号密码，拿同一组去试你的邮箱、支付、社交账号。只要有一处复用，泄露就从"一个站"变成"全部"。这是密码管理器存在的根本理由——它让你不必记住，也就不必复用。

两步验证要开，但别只开短信。短信验证码存在被拦截、被补卡的风险。能选的话，优先用验证器 App 生成的动态码，或者硬件密钥。

别把哈希和加密搞混。HMAC 这类工具做的是"用密钥证明消息没被改过"，它是单向的、不可逆的；而加密是能还原的。接口验签用 HMAC，存密码用慢哈希（bcrypt、argon2 这类），两者不能互换。用错了不会立刻报错，但安全性会大打折扣。

小结

安全工具的关键原则是"本地优先"——密码、密钥、签名这些敏感内容，能不离开浏览器就不离开。把它们和普通文本处理工具分开收藏，用的时候更放心。