密码是安全随机的吗？

是。随机字符和可读短语都用 crypto.getRandomValues 生成，不是 Math.random。

能生成 MySQL 8 的 caching_sha2_password hash 吗？

不能。它的认证 hash 需要服务端 nonce，只能让 MySQL 自己算。这里生成的是 mysql_native_password hash，MySQL 8 里写它要显式指定插件。

带明文密码的那条 SQL（IDENTIFIED BY / WITH PASSWORD）是给你直接执行的，注意别记进 shell 历史或数据库查询日志。

不会。密码生成、PBKDF2、HMAC、SHA 全在浏览器本地用 Web Crypto 完成，不发往任何服务器。

1. 密码

长度

模式

大写 A-Z

小写 a-z

数字 0-9

符号 !@#$…

避免易混字符 0O1lI

生成 / 输入的密码

强度

随机字符 / 短语都用 crypto.getRandomValues 生成。

2. 数据库凭据 / Hash

数据库

用户名 / 角色（用于 SQL 示例）

SCRAM 迭代次数

salt 字节数

输出

全部在浏览器本地计算，密码与哈希不发往任何服务器。生产环境优先用服务端 ALTER USER / ALTER ROLE 让数据库自己按当前认证插件存储；输出里带明文的那条 SQL 请注意别记进日志。

两步：① 生成一个强密码（或输入已有密码）；② 算出对应数据库的存储凭据 / hash 和一条改密码的 SQL。支持 MySQL / MariaDB / PostgreSQL。

数据库	输出
MySQL	`mysql_native_password` hash（`*大写HEX(SHA1(SHA1(密码)))`），加两条 `ALTER USER` SQL（一条让服务端存、一条直接写 hash）。MySQL 8+ 默认 `caching_sha2_password`，写 native hash 要显式指定插件。
MariaDB	同上；MariaDB 默认就是 `mysql_native_password`。
PostgreSQL	`SCRAM-SHA-256` verifier（`SCRAM-SHA-256$迭代:盐$storedKey:serverKey`，可直接写 `pg_authid.rolpassword`），加两条 `ALTER ROLE` SQL。迭代次数、salt 字节数可调（默认 4096 / 16）。

caching_sha2_password / MySQL 8 的 SHA-256 认证 hash 不在这里生成——那个要服务端 nonce，只能让服务器自己算。

密码、PBKDF2、HMAC、SHA 全在浏览器本地用 Web Crypto 完成，不发往任何服务器。
输出里带明文密码的那条 SQL（IDENTIFIED BY '...' / WITH PASSWORD '...'）是给你直接执行用的，注意别记进 shell 历史或查询日志。
生产环境优先让数据库服务端按当前认证插件存储，别手写 hash。

输出里带明文密码的 SQL 别记进 shell 历史或数据库日志。