前言：为什么不要用自己"想"出来的密码
很多人设置密码的习惯是：名字缩写 + 生日 + 几个符号。这类密码在"撞库攻击"面前几乎等于没有——攻击者拿着历史上泄露过的几十亿条密码字典，几秒钟就能匹配上。
真正安全的密码只有一个标准：由密码学安全的随机数生成器产生，而不是由人脑产生。人脑产生的随机数，从来都不是真随机。
本文给出三种在 Windows（XAMPP / phpStudy 环境）下生成强密码的方法，以及生成后如何正确保存、如何给 Apache 生成专用的认证密码文件。
一、密码强度的四个硬指标
在讲方法之前，先明确什么样的密码才算"强"：
1. 长度优先于复杂度
16 位纯小写字母的破解难度，远高于 8 位"大小写+数字+符号"。长度是第一位的。建议最低 16 位，重要用途 20 位以上。
2. 必须用 CSPRNG，不能用 rand()
PHP 里 rand()、mt_rand()、uniqid() 都不安全——它们是可预测的伪随机。必须使用：
random_bytes()（PHP 7+）random_int()（PHP 7+）
这两个函数调用的是操作系统的密码学随机源，不可预测。
3. 字符集要"去掉长得像的"
下面这几个字符肉眼极难区分，如果你需要手抄、念出来、或者拍照存纸质备份，建议从字符集里剔除：
0（数字零） O（大写字母欧） o（小写字母欧）
1（数字一） l（小写字母艾） I（大写字母艾） |（竖线）如果你全程用密码管理器复制粘贴，则无需剔除。
4. 一码一用，绝不复用
数据库密码、后台密码、Apache 认证密码，必须是三个完全不同的密码。任何一处泄露，不至于全线崩溃。
二、方法一：命令行直接生成（最快）
如果你装了 XAMPP，系统里已经有 PHP，可以直接在 CMD 里调用。
2.1 生成 32 位十六进制密码
C:\xampp\php\php.exe -r "echo bin2hex(random_bytes(16));"输出示例：
a3f8d92e6b1c04d7f5a83e2b9c6d4018random_bytes(16) 产生 16 字节随机数据，bin2hex() 转成十六进制，正好 32 个字符。这个强度已经足够高。
2.2 生成带符号的 20 位密码
如果目标系统强制要求"必须含大小写+数字+符号"，用这条：
C:\xampp\php\php.exe -r "$c='abcdefghijkmnopqrstuvwxyzABCDEFGHJKLMNPQRSTUVWXYZ23456789!@#$%^&*';$p='';for($i=0;$i<20;$i++){$p.=$c[random_int(0,strlen($c)-1)];}echo $p;"输出示例：
K8#mP@2vXq7!nR4wB9$z注意这条命令里已经剔除了 0 O o 1 l I 这几个易混字符。
三、方法二：做成 bat 文件，双击就出密码
命令行每次都要手打一长串，容易出错。做成一个批处理文件放桌面，双击一次出一个密码，再双击换一个，最省事。
新建文本文件，改名为 genpass.bat，内容如下：
@echo off
C:\xampp\php\php.exe -r "$c='abcdefghijkmnopqrstuvwxyzABCDEFGHJKLMNPQRSTUVWXYZ23456789!@#$%%^&*';$p='';for($i=0;$i<20;$i++){$p.=$c[random_int(0,strlen($c)-1)];}echo $p;"
echo.
echo ===== 复制上面的密码，用完即关 =====
pause关键细节：在 bat 文件里，% 必须写成 %%（CMD 的转义规则），所以上面字符集里是 !@#$%%^&*。这一点不注意会直接报错。
四、方法三：PHP 网页批量生成
如果你更喜欢在浏览器里一次性拿到好几个，可以建一个临时 PHP 文件。
<?php
// ⚠️ 用完立即删除本文件
function makePass($len = 20) {
// 已剔除 0 O o 1 l I 等易混字符
$chars = 'abcdefghijkmnopqrstuvwxyzABCDEFGHJKLMNPQRSTUVWXYZ23456789!@#$%^&*';
$max = strlen($chars) - 1;
$pass = '';
for ($i = 0; $i < $len; $i++) {
$pass .= $chars[random_int(0, $max)];
}
return $pass;
}
?>
<h3>生成的强密码（刷新页面可换一批）</h3>
<textarea style="width:420px;height:220px;font-size:16px">
<?php for ($i = 1; $i <= 5; $i++): ?>
密码<?php echo $i; ?>： <?php echo makePass(20); ?>
<?php endfor; ?>
</textarea>
<p style="color:red"><b>拿完密码请立即删除本文件，不要留在服务器上！</b></p>上传到网站根目录，浏览器打开即可，一次给 5 个。
安全提醒：这个脚本用完必须删除。它虽然没有危险性，但属于"临时文件"，长期遗忘在服务器上会成为一个无人维护的入口。
五、给 Apache 生成专用认证密码（htpasswd）
如果你的网站后台要加一层 Apache 的 HTTP 认证（详见另一篇《Apache HTTP Basic 认证配置教程》），需要用 htpasswd 生成密码文件，不能把明文密码直接写进配置。
5.1 生成密码文件
C:\xampp\apache\bin\htpasswd.exe -c C:\xampp\.htpasswd_admin admin执行后提示输入两次密码即可。参数说明：
-c：新建文件（会覆盖已有文件）C:\xampp\.htpasswd_admin：密码文件存放路径admin：用户名
5.2 修改已有用户的密码
去掉 -c，否则会清空文件里其他用户：
C:\xampp\apache\bin\htpasswd.exe C:\xampp\.htpasswd_admin admin5.3 删除用户
C:\xampp\apache\bin\htpasswd.exe -D C:\xampp\.htpasswd_admin admin5.4 指定加密算法（推荐 bcrypt）
htpasswd.exe -B -c C:\xampp\.htpasswd_admin admin| 参数 | 算法 | 说明 |
|---|---|---|
| -B | bcrypt | 推荐，最安全，慢哈希抗暴力破解 |
| -2 | SHA-256 | 较安全 |
| -5 | SHA-512 | 较安全 |
| -m | MD5 (APR1) | 默认值，兼容性最好但较弱 |
| -d | crypt | 已过时，不要用 |
注意：bcrypt 生成的密码文件，部分老版本 Apache 不支持。如果发现认证总是失败，改用默认的 -m。
5.5 密码文件放哪里最安全
✅ C:\xampp\.htpasswd_admin 放在网站根目录之外
❌ C:\xampp\htdocs\.htpasswd_admin 放在网站目录内（危险）放在网站根目录之外，意味着即使所有 Apache 规则失效，浏览器也永远无法通过 URL 访问到这个密码文件。
六、生成完密码，怎么保存
生成了强密码，保存方式不当等于白做：
| 保存方式 | 评价 |
|---|---|
| 密码管理器（Bitwarden / KeePass / 1Password） | ✅ 最推荐 |
| KeePass 本地数据库 + 离线备份 | ✅ 推荐，数据在自己手里 |
| 写在纸上锁进抽屉 | ✅ 对个人小站反而是最安全的（断网的东西偷不走） |
| 手机备忘录（加密） | 🟡 可以 |
| 浏览器"记住密码" | ❌ 不要用 |
| 桌面建个 passwords.txt | ❌ 绝对不要 |
个人站长管理一两个后台，纸质备份 + 密码管理器双份其实是最稳妥的组合——一个防数字泄露，一个防物理丢失。
七、常见坑汇总
坑一：bat 里 % 没转义
bat 文件中 % 必须写成 %%，否则命令报错或无输出。
坑二：CMD 里密码含 $ 被当变量
如果密码里有 $ 且要在命令行使用，需要用引号包裹或转义。最简单的办法：生成到不含 $ 的为止（多生成几个挑一个）。
坑三：用了 rand() 而不是 random_int()
rand() 产生的随机数可被预测，属于安全漏洞。务必使用 random_int() / random_bytes()。
坑四：临时脚本忘记删除
批量生成密码的 PHP 文件、工具类脚本，用完立刻删。这类"被遗忘的临时文件"是网站最常见的隐患之一。
八、一句话总结
强密码 = 足够长（16 位以上）+ CSPRNG 生成 + 一码一用 + 妥善保存。
最省事的落地方案：把方法二那个 genpass.bat 存到桌面，需要密码时双击一下，配合一个密码管理器保存，搞定。
相关文章：Apache HTTP Basic 认证配置教程（用本文生成的密码给后台加一道门）
