Не надо мешать пользователю задавать пароль такой, какой ему удобно запомнить. Единственное возможное ограничение - это минимальная длина.