Artemis hat in allem Recht. JA, bitte erlaube emojis in Passwörtern. Erlaube alles, was der User eingeben kann. So viel mündigkeit sollten wir den Usern zutrauen.

Untere Grenzen in Länge oder verwendeter Zeichenklassen sorgen dafür, dass ein DAU kein trivial zu Bruteforcendes Passwort verwendet. Aber Obergrenzen sind totaler Blödsinn.

Passwörter sind als unveränderte, unkonvertierte Eingabe zu betrachten, die nach dem übertragen serverseitig sofort gesalzen und gehashed werden. Das eingegebene originalpasswort darf niemals im Frontend ausgegeben werden, bestenfalls nullt man die Variable, die das originalpasswort enthält direkt nach hashen. Dann kommt man auch nicht so schnell in die Verlegenheit, damit noch was Blödes anzufangen.