通过 crypto.getRandomValues 用字母、数字和符号生成随机密码。
泄露密码检查
联网: HIBP新增
该工具本身是英文的；本页面将用您的语言对它进行说明。
使用 泄露密码检查
功能介绍
在不发送密码的情况下，将其与 Have I Been Pwned 的 Pwned Passwords 列表进行比对：你的浏览器用 SHA-1 计算其哈希，只查询该哈希的 5 字符前缀。
仅将密码的 SHA-1 哈希值的前 5 个字符发送至 Have I Been Pwned（api.pwnedpasswords.com）；密码本身绝不会离开浏览器。
如何使用泄露密码检查
- 选择检查对象. 在 What to check（检查对象）下选择 A password（密码）；如果你只有 40 个字符的十六进制哈希，则选择 Its SHA-1 hash。
- 输入内容. 在掩码字段中输入密码；Show（显示）可以让它显示出来。请在你信任的设备上操作。
- 运行检查. 按 Check（检查）或 Enter。你的浏览器用 SHA-1 计算密码的哈希，并只向 api.pwnedpasswords.com 查询该哈希的前 5 个字符。
- 查看结果. 彩色提示框显示 Found 及次数，或 Not found。其下方的三个字段显示发送了什么、返回了多少个后缀，以及你的哈希是否匹配。
- 采取行动并清除. 如果找到了该密码，请在所有使用它的地方更换，并开启双因素认证。按 Clear 清空字段和结果。
示例
出现在每份泄露列表中的密码
passwordFound 52,372,427 times in the Pwned Passwords breach corpus. Do not use this password. Change it wherever you use it, give every account its own password (a password manager makes that practical) and turn on two-factor authentication.
SENT TO THE SERVICE
5BAA6 (5 of 40 characters)
SUFFIXES RETURNED
1,978 + 135 padding rows
MATCHED IN YOUR BROWSER
yes出现超过 5000 万次。唯一发送的数据是哈希前缀 5BAA6；完整的 SHA-1 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8 在浏览器中进行匹配。
检查内容
| 信号 | 其含义 |
|---|---|
| Found N times（找到 N 次） | 你的哈希在 Pwned Passwords 泄露数据集中出现了 N 次。攻击者会优先尝试这类密码，因此请在所有地方停止使用它。 |
| Not found（未找到） | 该哈希不在数据集中。较短或可预测的密码仍然可能被猜中。 |
| Sent to the service（已发送到服务） | 5 字符前缀：哈希中唯一离开你浏览器的部分。请求不携带 cookie 和来源页（referrer），但与任何网络请求一样，服务能看到你的 IP 地址。 |
| Suffixes returned（返回的后缀） | 有多少个真实的哈希后缀共享该前缀，外加计数为 0 的填充行；工具会请求这些填充行，使答复的大小不泄露任何信息。 |
| Matched in your browser（在浏览器中匹配） | yes 或 no：你的哈希的其余部分在你的设备上与返回的列表进行了比较。 |
| A SHA-1 hash has exactly 40 hex characters (0-9, a-f).（SHA-1 哈希恰好有 40 个十六进制字符） | 哈希模式拒绝了输入，没有发送任何内容。大小写均可，哈希两侧有空格也没关系。 |
| Could not reach api.pwnedpasswords.com（无法连接 api.pwnedpasswords.com） | 你处于离线状态，或某个扩展或网络过滤器拦截了请求。没有进行任何检查。 |
| Too many requests to Pwned Passwords（对 Pwned Passwords 的请求过多） | 服务返回了 HTTP 429。请等待几秒后重试。 |
更多示例
泄露列表中排名靠前的密码
123456找到 210,461,208 次（2026 年 10 月 22 日检查）。发送到服务的内容：7C4A8。在浏览器中匹配：yes。
一个著名的示例密码短语
correct horse battery staple找到 391 次（2026 年 10 月 22 日检查）。只发送了 ABF7A。已被公开的长短语仍然会出现在泄露列表中。
少一个字符的哈希
Its SHA-1 hash: 7c4a8d09ca3762af61e59520943dc26494f8941A SHA-1 hash has exactly 40 hex characters (0-9, a-f).（SHA-1 哈希恰好有 40 个十六进制字符。）不会发送任何内容。
常见问题解答
具体会向 Have I Been Pwned 发送什么？
只发送密码 SHA-1 哈希的前 5 个十六进制字符，例如 5BAA6。服务会返回以这几个字符开头的所有哈希后缀，外加用于隐藏答复真实大小的填充行，你的浏览器再在该列表中查找哈希的其余部分。
未找到是否意味着密码安全？
不是。它只说明该密码不在 Pwned Passwords 收录的泄露数据集中；较短或可预测的密码仍然可能很快被猜中。找到的结果是可靠的，因为攻击者会优先尝试泄露列表中的密码。
可以检查哈希而不是密码吗？
可以。选择 Its SHA-1 hash（其 SHA-1 哈希），然后粘贴 40 个字符的十六进制哈希；发送的同样是 5 字符前缀。本页面不存储密码或哈希，Clear（清除）会清空字段和结果。
Have I Been Pwned 能根据前缀推算出我的密码吗？
不能。每个 5 字符前缀都由许多哈希共享，而答复总是包含所有这些哈希以及填充行，因此服务无法判断其中哪一个是你的（如果有的话）。
SHA-1 被认为不够安全，为什么还用它？
Pwned Passwords 的范围查询服务是按 SHA-1 哈希组织的，因此查询必须使用它。在这里，哈希只是查询键；隐私保护来自只发送其 40 个字符中的 5 个。
为什么有些密码的次数这么高？
次数是该密码在数据集收录的所有泄露事件中出现的总次数，而 123456 这类常见选择被数百万个不同账户使用过。只要次数大于零，就说明该密码已在攻击者的列表中。
它会检查我的电子邮件地址是否泄露吗？
不会。它只检查密码。要查看某个电子邮件地址是否出现在已知的泄露事件中，请直接使用 Have I Been Pwned 网站。