正向先行断言用于强密码校验，因其不消耗字符位置，可并行检查各类字符存在性而不受顺序限制；需组合小写、大写、数字、特殊字符及长度断言，并配合整体字符范围匹配。
用正向先行断言（(?=...)）做强密码校验，核心是把“必须包含某类字符”这个要求拆成多个独立检查，全部放在开头，互不干扰。
为什么必须用正向先行断言
普通正则匹配是顺序消耗字符的，比如写 [a-z].*[A-Z] 就要求小写字母必须在大写字母前面，实际密码可能反过来，甚至穿插分布。而正向先行断言只“看一眼”，不挪动匹配位置，每个断言都从字符串起始处检查整串是否满足条件——这样就完全不管字符顺序，只管“有没有”。
基础四要素组合写法
同时要求含小写字母、大写字母、数字、指定特殊字符，推荐这样写：
-
(?=.*[a-z])：至少一个小写字母 -
(?=.*[A-Z])：至少一个大写字母 -
(?=.*\d)：至少一个 ASCII 数字（0–9） -
(?=.*[!@#$%^&*()_+\-=\[\]{};':"\|,.?])：至少一个明确列出的特殊字符（避开全角、空格、控制符） -
(?=.{8,})：长度至少 8 位（放最前或最后都可，但别插在中间） - 结尾补上主体匹配：
[a-zA-Z0-9!@#$%^&*()_+\-=\[\]{};':"\|,.?]+$，确保所有字符都在允许范围内
完整表达式示例：^(?=.*[a-z])(?=.*[A-Z])(?=.*\d)(?=.*[!@#$%^&*()_+\-=\[\]{};':"\|,.?])(?=.{8,})[a-zA-Z0-9!@#$%^&*()_+\-=\[\]{};':"\|,.?]+$
常见增强项怎么加
业务需要更严时，可在同一行继续叠加断言：
- 禁止两个相同字符相邻：
(?!.*(.)\1)（注意放最后，且不要和主体匹配冲突） - 排除常见弱密码模式（如连续数字）：
(?!.*123456)(?!.*password)（慎用，易过时） - 强制至少三类字符（四选三）：
(?!(?:[a-z]+|[A-Z]+|\d+|[!@#]+)$)配合整体范围使用，逻辑更复杂，建议后端分步判断
必须同步做的预处理
正则再准，也救不了脏输入：
- 前端提交前先
.trim()去首尾空格 - 过滤不可见字符：零宽空格（
\u200b）、BOM、控制符（\u0000-\u001f） - 中文输入法下可能带全角数字/符号，若不允许，需提前转换或拒绝
- Emoji 和生僻 Unicode 字符建议直接拦截，除非业务明确支持
后端不能只信前端正则，仍需用等价逻辑二次校验，尤其是长度、字符分类和不可见字符清理。
