强密码正则需用多个正向先行断言确保同时包含小写字母、大写字母、数字和指定特殊字符，并用^$锚定及.{8,16}控制长度，避免仅限字符范围或遗漏首尾锚点。
用正则表达式验证强密码，核心是确保密码同时满足多个“必须包含”的条件，而不是只限制字符范围。关键不在写得长，而在逻辑清晰、可维护、易调试。
基础结构：用正向先行断言组合条件
所有主流语言（JS、Python、C#、Java）都支持 (?=.*[a-z]) 这类写法，它不消耗字符，只做“检查”——就像站在门口挨个确认：“有没有小写字母？有。有没有大写字母？有。有没有数字？有……”
-
小写字母：
(?=.*[a-z]) -
大写字母：
(?=.*[A-Z]) -
数字：
(?=.*d)或(?=.*[0-9]) -
指定特殊字符：
(?=.*[@$!%*?&])（白名单更安全，避免误判空格或换行） -
长度控制：
.{8,16}放在最后，表示整体匹配长度；若只要求最小长度，用.{8,}
完整示例与常见变体
一个兼顾安全性与实用性的通用表达式：
^(?=.*[a-z])(?=.*[A-Z])(?=.*d)(?=.*[@$!%*?&]).{8,16}$说明：
-
^和$锚定首尾，防止匹配子串（比如"abc123"里混进"123"就误通过） - 所有
(?=...)必须全部成立，才进入最终长度匹配 - 末尾的
.{8,16}不限定字符类型，所以前面必须靠先行断言兜底
如需禁止连续重复字符（如 "aa"、"11"），追加负向断言：(?!.*(.))，完整写法：
不同语言的注意事项
同一正则，在不同语言中写法略有差异，主要是转义和 API 调用方式：
-
JavaScript：直接写成字面量，
/^(?=.*[a-z])...$/，用.test() -
Python：用
re.match(pattern, pwd)，注意 raw 字符串前加r避免反斜杠被转义 -
C#：字符串中反斜杠要双写，如
@".*\d"；推荐用Regex.IsMatch(pwd, pattern) - Java：同 C#，需双反斜杠；若性能敏感，可预编译正则对象并静态复用
别踩这些坑
看似简单的正则，实际容易出错：
- 只写
^[A-Za-z0-9@]{8,}$—— 这只校验字符是否在范围内，不保证大小写、数字、符号全都出现 - 漏掉
^或$—— 可能匹配到部分字符串，导致"aaa123456789"因含数字就通过，其实全是小写 - 特殊字符写成
W—— 它会匹配空格、制表符、下划线等，业务通常只要明确几个符号，白名单更可控 - 前端校验当终点 —— 必须在服务端用相同逻辑再验一次，前端可绕过
