生成随机密码的Linux命令工具

在Linux系统中，安全可靠地生成随机密码应摒弃依赖网络的在线工具或GUI软件，转而使用系统自带或轻量可验证的命令行工具：pwgen适合生成易记且具备基本强度的音节型密码；openssl rand -base64通用性强、几乎无需额外安装，但需注意Base64填充符和字符分布不确定性；mkpasswd专为加盐哈希设计，适用于用户密码初始化或加密逻辑测试；而/dev/urandom结合tr则是最底层、最可控的方案，支持完全自定义字符集，满足高安全性、自动化脚本及合规审计需求——无论你是运维人员、CI/CD工程师还是临时创建账号，这些工具都能在不联网、不泄露数据的前提下，为你提供真正可信的密码生成能力。

Linux 下生成随机密码，最可靠的方式不是靠在线网站或 GUI 工具，而是用系统自带或轻量可验证的命令行工具——它们不联网、不传数据、输出可控，适合运维、CI/CD 或临时账号场景。

pwgen：生成「好记又够用」的密码

它默认生成的是音节型密码（比如 cah6Osh0），兼顾可读性和熵值，适合人肉输入但又不弱。不适合要求必须含特殊字符的强策略场景。

• pwgen -y 16 1：强制包含特殊字符，生成 16 位单个密码
• pwgen -ncy 12 5：同时启用数字（n）、大小写字母（c）、特殊字符（y），生成 5 个 12 位密码
• 注意：pwgen 在某些最小化安装系统里默认不带，Ubuntu/Debian 用 apt install pwgen，CentOS/RHEL 用 yum install pwgen
• 别用 pwgen 16 不加参数——它可能只输出小写字母+数字，不含大写或符号，不符合多数安全策略

openssl rand -base64：简单、通用、无依赖

只要装了 OpenSSL（几乎所有 Linux 都预装），就能用。输出是 Base64 编码的随机字节，天然含大小写字母、数字和 +///=，但 = 是填充符，实际密码长度会浮动。

• openssl rand -base64 12 | tr -d '\n=' | head -c 16：去掉换行和等号，再截出 16 位干净字符串
• 直接 openssl rand -base64 24 得到约 32 字符输出（Base64 每 3 字节→4 字符），但末尾可能有 =，脚本里要过滤
• 它不保证每种字符类型都出现，比如连续运行几次可能某次没大写字母——需要强策略时得额外校验或换工具

mkpasswd：适合需「盐值」或直接设用户密码的场景

它本质是调用系统的 crypt(3)，输出格式和 shadow 文件一致，常用于批量建用户或测试加密逻辑。不是为“生成纯密码”设计的，但顺手可用。

• mkpasswd -l 16：生成 16 位随机密码（实际是 13 位，因默认 salt 占位；不同版本行为略有差异）
• mkpasswd -s ab -l 16：指定 salt 为 ab，结果可复现——调试加密流程时有用
• Ubuntu 需先装 whois 包（apt install whois），RHEL/CentOS 装 expect（yum install expect）
• 别把 mkpasswd password -s salt 的输出当成明文密码用——那是哈希值，不能反解

/dev/urandom + tr：最底层、最可控的组合

绕过所有工具链，直取内核随机源，字符集完全自定义。适合写进脚本、嵌入 CI 流程，或满足合规审计中“必须可见熵源”的要求。

• tr -dc 'A-Za-z0-9!@#$%^&*-' /urandom | head -c 20：只保留你列出的字符，生成 20 位
• 注意 tr -dc 会丢弃所有不在集合里的字节，如果字符集太小（比如只写 01），可能卡住——建议至少包含 20+ 个字符
• /dev/urandom 是非阻塞的，比 /dev/random 更适合批量生成；无需担心“熵池枯竭”
• 这个组合在 Alpine Linux 等精简镜像里也能跑，不依赖 Perl/Python 或额外包

真正容易被忽略的是字符集语义：比如 [:punct:] 在不同 locale 下包含的符号不同，tr 命令里写死字符比用 POSIX 类更稳；还有 openssl rand -base64 的长度参数不是最终密码长度，得自己截断并去重处理。

今天带大家了解了的相关知识，希望对你有所帮助；关于文章的技术知识我们会一点点深入介绍，欢迎大家关注golang学习网公众号，一起学习编程~