Roundcube邮件系统密码插件文档修正：zxcvbn驱动配置参数说明

Roundcube邮件系统的密码插件(password plugin)是管理用户密码变更的重要组件。在1.6.9版本中，关于zxcvbn密码强度评估驱动的文档存在一处需要修正的配置说明。

问题背景

zxcvbn是一个流行的密码强度评估库，Roundcube密码插件通过zxcvbn驱动实现了对用户设置密码的强度检查功能。在插件文档的443行，原先建议用户通过$config['password_zxcvbn_min_score']参数来设置最低可接受的密码强度分数。

配置参数验证

经过实际测试验证，在1.6.9版本中：

1. $config['password_zxcvbn_min_score']参数确实有效，能够正确控制密码强度要求
2. 文档中提到的另一个参数$config['password_zxcvbn_min_score']实际上并不起作用

技术实现解析

zxcvbn驱动的实现原理是：

1. 对用户输入的密码进行多维评估，包括：
   • 常见密码组合检查
   • 模式匹配（如连续字符、重复字符等）
   • 熵值计算
2. 最终给出0-4分的评分（4分为最强）
3. 插件会将评分与配置的阈值比较，决定是否允许密码修改

正确配置方法

用户应在Roundcube配置文件中使用以下配置：

$config['password_zxcvbn_min_score'] = 3;  // 设置最低密码强度要求为3分（中等强度）

建议的分数范围：

• 2分：允许较弱密码（不推荐）
• 3分：中等强度（适合大多数场景）
• 4分：最高强度（安全性要求高的环境）

安全建议

1. 生产环境建议至少设置为3分
2. 结合其他密码策略（如最小长度、特殊字符要求）使用效果更佳
3. 定期提醒用户更新密码
4. 考虑启用密码过期策略

该文档问题已在最新版本中修正，用户应参考最新文档进行配置。