建议设置一个限制，以避免耗尽服务器上的资源。

没有限制，攻击者可以使用非常大的密码调用登录端点，比如说一个千兆字节（让我们忽略一次发送这么多是否可行。您可以一次发送 10MB，但速度更快）。

服务器需要对密码进行的任何工作现在都将变得更加昂贵。这不仅适用于密码散列，还适用于重新组装数据包并将它们发送到应用程序的每一级处理。服务器上的内存使用量也大大增加。

仅仅几个并发的 10MB 登录请求就会开始对服务器性能产生影响，甚至可能会耗尽资源并触发拒绝服务。

这些可能不是密码/数据泄露意义上的安全问题，但通过 DOS 破坏服务或崩溃肯定是。请注意，我没有提到缓冲区溢出：体面的代码可以处理任意大的密码而不会溢出。

总结一下，我认为当有人说“没有理由限制密码的字符数”时，他们是在谈论常见的小限制（例如：10 或 20 个字符）。除了懒惰或使用旧系统之外，确实没有其他理由。256 个字符的限制大于大多数人的期望（测试这些限制的人除外）是合理的，并且可以防止与任意大的有效负载相关的一些问题。

密码应该被散列/加盐。除了 GB 大小的密码可能带来的 DoS 攻击风险外，OWASP建议限制密码长度，因为：

一些散列算法（例如 Bcrypt）具有输入的最大长度，大多数实现为 72 个字符（有一些报告称其他实现的最大长度较低，但在撰写本文时尚未确定）。在使用 Bcrypt 的情况下，应在输入上强制执行最大长度为 64 个字符，因为这提供了足够高的限制，同时仍然允许字符串终止问题并且不会透露应用程序使用 Bcrypt。

由于这一点以及 DoS 的潜力，他们建议 Bcrypt 限制为 64 个字符（由于算法和实现的限制），其他算法限制在 64 到 128 个字符之间。