OWASP 应用程序安全验证标准 4.0.3

验证用户设置的密码长度至少为12个字符（合并多个空格后）。(C6)

验证是否允许至少64个字符的密码，以及是否拒绝超过128个字符的密码。(C6)

确认密码未被截断。但是，连续的多个空格可能会被替换为一个空格。(C6)

验证密码中允许使用任何可打印的 Unicode 字符，包括空格和表情符号等语言中性字符。

验证用户能否更改他们的密码。

验证密码更改功能是否需要用户的当前密码和新密码。

验证在账户注册、登录和密码更改过程中提交的密码是否与一组已泄露的密码进行核对，可以在本地进行（例如与系统密码策略匹配的前1000或10000个最常用密码）或使用外部API进行核对。如果使用 API，应使用零知识证明或其他机制以确保明文密码不会被发送或用于验证密码是否被泄露。如果密码已被泄露，应用程序必须要求用户设置一个新的未泄露密码。(C6)

确认提供密码强度测量工具，以帮助用户设置更强的密码。

验证是否没有限制允许字符类型的密码组成规则。密码不应要求包含大写或小写字母、数字或特殊字符。(C6)

确认没有定期凭证轮换或密码历史记录要求。

确认允许使用“粘贴”功能、浏览器密码助手和外部密码管理器。

确认用户能够选择临时查看整个被掩码的密码，或者在不具备此内置功能的平台上临时查看密码的最后一个输入字符。