中小团队可落地的密码与令牌安全规范
围绕密码强度、令牌生成与签名边界建立可落地安全基线，减少默认配置带来的安全风险。
很多安全问题不是高深攻击，而是默认配置太弱。这个流程强调“先设置好规则，再统一前后端校验”。
本指南涉及工具
1）先给出更强的默认值
用 Password Generator 产出满足规则的示例，方便文档、测试和客服统一口径。
服务间令牌优先用 Token Generator 生成足够长度，避免可记忆模式。
建议把最小长度、字符集和过期策略写成对外可见规则，用户和支持团队都能清楚知道“为什么被拒绝”。
2）接受前先做强度评估
用 Password Strength Checker 给出最低门槛，并在前端实时提示。
若前端通过但后端拒绝，说明规则未对齐，需要统一策略避免用户反复重试。
除了分数门槛，也要单独拦截常见弱口令模式（键盘顺序、重复段、邮箱前缀），这类风险常在真实攻击中被优先利用。
3）明确哈希与签名的边界
Hash Generator 适合做指纹或对比，不要把普通哈希当成鉴权令牌。
需要校验来源完整性时使用 HMAC，并把算法与轮换机制写进团队规范。
上线前做一次“泄露演练”：假设 token 泄露，验证密钥轮换、会话失效、告警通知是否能在目标时间内完成。