密码怎么存：每账号一个随机盐，PBKDF2-SHA256 迭代 12 万轮后存成 s2$盐$轮数$哈希，不存明文；老账号（s1$/旧格式）下次登录会自动升级。
已经做的防护：会话 8 小时过期 · 同一账号连错 5 次锁 15 分钟 · 改密码会在备注里留一条时间记录 · 改密后其他设备 1 分钟内自动退出。
密码不足 8 位：登录时会在页面顶部提示，但不拦着，可以正常使用。
仍然防不了：校验在浏览器里做，能看到整张表的人可以改页面脚本绕过 —— 它挡的是"随手试密码"，不是有备而来的攻击。真要防这个，得改成服务端校验（云服务版）。