密码泄露查询
输入密码并点击「检查」：您会看到唯一会离开设备的内容，即其哈希值的前 5 个字符。只有点击「发送到 Have I Been Pwned」时才会查询已知泄露，比对在这里完成。
5BAA6••••• 到 Have I Been Pwned最安全的做法：让浏览器或密码管理器提醒您哪些密码已泄露（iPhone 和 Mac 上的 Chrome、Firefox、Safari 都能做到），无需在任何网站上输入。也不要在不信任的网站上输入密码，包括本网站。 不会保存或记录任何内容。
结果仅为估算。Solvemis 对所得结果及其使用方式不承担任何责任。
Solvemis 免费且无需注册。如果它帮到了您，并且您愿意支持这个项目： 请我喝杯咖啡
运作方式
使用方法
- 在输入框中输入要检查的密码。
- 点击「检查」：您会看到将离开设备的哈希值前 5 个字符。
- 点击「发送到 Have I Been Pwned」进行查询。
- 查看结果：如果查到，请在所有用到它的地方更改。
计算方法
浏览器把密码转换成 SHA-1 哈希值。只有哈希值的前 5 个字符会发送到 Have I Been Pwned 的 Pwned Passwords API，该接口返回所有开头相同的哈希值的其余部分以及每个出现的次数；与您的哈希值的比对在您的浏览器中完成。这种方法称为 k-匿名：例如，「password」的哈希值以 5BAA6 开头，而以此开头的不同哈希值有数百个，因此服务无法知道哪一个是您的。请求还要求填充：计数为 0 的假哈希值，使响应的大小不会暴露查询的内容，这些在这里会被丢弃。需要完整的密码：只要有一个字母不同，哈希值就会完全改变。
资料来源
- API v3: Searching by range (Pwned Passwords) — Have I Been Pwned
- Validating Leaked Passwords with k-Anonymity — Cloudflare
- Enhancing Pwned Passwords Privacy with Padding — Troy Hunt
关于这个计算器
为什么只发送 5 个字符
密码的 SHA-1 哈希值是一个 40 个字符的代码，同一个密码总是得到相同的值，而且无法由它还原出密码。这个哈希值只发送前 5 个字符。不同密码的哈希值中有数百个以此开头，服务会全部返回：接收请求的一方不知道哪一个是您的，比对在您的浏览器中完成。
最安全的做法：不在任何网站上输入
iPhone 和 Mac 上的 Chrome、Firefox、Safari 以及密码管理器，会在已保存的密码出现在数据泄露中时提醒您，无需在任何页面上输入。这是最安全的。一般来说，也不要在不信任的网站上输入密码，包括本网站。
为什么本页没有广告
为了降低您的风险，我们去掉了广告：在您输入密码的页面上，我们不加载任何其他人的代码。本页只能连接 Solvemis 和 Have I Been Pwned，这一点写在页面自己的代码中。
常见问题
在这里输入密码安全吗？
密码不会离开您的设备：浏览器会把它转换成 SHA-1 哈希值，只发送前 5 个字符，而这 5 个字符是数百个密码共有的。即便如此，最安全的做法仍是不在不信任的网站上输入密码，包括本网站：浏览器或密码管理器可以提醒您哪些密码已泄露，无需在任何网站上输入。
如果查到了怎么办？
停止使用该密码，并在所有用到它的地方更改，先从邮箱和银行开始。每个网站使用不同的密码，把它们保存在密码管理器中，并开启两步验证。
如果没查到，就安全吗？
不一定。这只说明它不在已知的泄露数据中。它可能太短或容易被猜到，也可能已经泄露但尚未被发现。
Have I Been Pwned 是什么？
一个独立服务，收集公开数据泄露中的密码，让任何人都能检查自己的密码是否在其中。其密码查询免费，并且设计为无需发送密码即可完成。
更新于 2026年10月21日
这个工具缺少什么功能，或者您需要的工具这里没有？ 给我们写信