Primeiro é preciso determinar o que é uma senha forte e fraca, isso já é o inicio mais óbvio. Existem vários tipos de implementações, aqui você pode ver um exemplo comparando três senhas diferentes em vários serviços diferentes:

Recomendo que leia toda a explicação aqui, justamente onde tem essa imagem.
O Dropbox disponibilizou em código aberto o seu sistema de "analise de senhas", pode ver aqui. Ele possui implementações em várias linguagens diferentes.
Se quiser uma lista com mais opções:
Se quiser uma comparação, veja aqui.
Medir forças de senha é relativo, por mim extremamente falho. A força da senha será medida por um padrão, um critério que você acredita que é seguro. Inclusive por isso existe tanta diferença o resultado de uma biblioteca e uma outra biblioteca. O problema é que o atacante pode não seguir o seu padrão. É impossível determinar a força de uma senha se desconhece a técnica do atacante.
Inclusive, a senha "correcthorsebatterystaple" pode não ser considerada boa, segundo, por exemplo, o Bruce Schneier, esta e a mesma senha que o ZXCVBN, do Dropbox, considera mais segura.
Pessoalmente acredito que o mais importante é permitir o usuário usar 2FA, preferencialmente FIDO U2F e por enquanto também aceite o TOTP. Isso será o fator principal, se a pessoa descobrir a senha será barrado pela segunda autenticação.
Lembre-se de guardar a senha corretamente (usando Argon2, BCrypt, Scrypt ou PBDKF2, com altas dificuldades), isso atrasar de ataques "off-line" caso seu banco de dados tenha sido comprometido.