中小团队可落地的密码与令牌安全规范
围绕密码强度、令牌生成与签名边界建立可落地安全基线，减少默认配置带来的安全风险。
很多安全问题不是高深攻击，而是默认配置太弱。这个流程强调“先设置好规则，再统一前后端校验”。
本指南涉及工具
1）先给出更强的默认值
用 Password Generator 产出满足规则的示例，方便文档、测试和客服统一口径。
服务间令牌优先用 Token Generator 生成足够长度，避免可记忆模式。
2）接受前先做强度评估
用 Password Strength Checker 给出最低门槛，并在前端实时提示。
若前端通过但后端拒绝，说明规则未对齐，需要统一策略避免用户反复重试。
3）明确哈希与签名的边界
Hash Generator 适合做指纹或对比，不要把普通哈希当成鉴权令牌。
需要校验来源完整性时使用 HMAC，并把算法与轮换机制写进团队规范。