最好的开源密码管理器，并非人人都推荐的那一款

Bitwarden 常被称为开源密码管理器的黄金标准。但如果你选择开源密码管理器的原因是信任，那么 Bitwarden 真的配得上这一声誉吗？

我将它与 KeePassXC 进行了比较，发现差距之大远超我的想象。正是这一差距促使我彻底换成了 KeePassXC。

KeePassXC 改变了规则

你的密码存储在你掌控的文件中，而非公司的保险库

我打开 KeePassXC 后注意到的第一件事，就是它根本没有“创建账户”按钮。根本没有这个选项，因为你存的所有数据都在你自己电脑上的一个 .kdbx 数据库文件里，无需注册、邮箱验证，也不需要任何公司替你保管保险库里的任何东西。

这个看似微小的细节，正是 KeePassXC 与其他云端密码管理器（包括大多数开源产品）之间最大的区别。这类产品一般是先把你的保险库在本地加密，再上传到提供商管理的服务器上。这种系统要求你信任一家公司的基础设施、技术实力和服务稳定性。KeePassXC 根本不需要你信任什么服务器，因为它压根就没有服务器。

搭建数据库需要在AES-256和ChaCha20之间做出选择。KeePassXC的默认密钥派生函数是Argon2id，而这正是实际保护您主密码的部分。Argon2id让每次猜测密码都要消耗大量的内存和时间，从而削弱暴力破解的优势。虽然它大幅提高了抵御攻击的能力，但并不能使弱密码变得安全。

密码管理器过去曾多次被攻破，而真正遭殃的通常是用户的保险库，这些保险库往往都存放在同一批服务器上。KeePassXC通过不持有任何人的保险库，避开了这一类泄露风险。

你用KeePassXC，数据归你自己管，但这也意味着，出了问题可没有客服热线能打。

让人意外的是，它日常用起来其实很平常

自动输入、本地自动填充，以及你自己选择的同步方式

看到这里，你可能会以为 KeePassXC 用起来像命令行工具。它虽然没有大多数竞品那么精致，但也不至于让人觉得是极客才玩的东西。密码生成器、搜索、标签和自动填充都挺好用，我只花了几分钟就设置好了。

基于浏览器的管理器通常只填充网页表单，而 KeePassXC 具有自动输入功能，能把你的账号密码发送到你当前正在操作的窗口。我登录桌面应用、远程桌面或者 VPN 客户端的时候，这就特别方便。这些场景浏览器自动填充一般覆盖不到。

同步这块需要手动设置的地方最多；我是把它指向 Syncthing 或 Nextcloud 的文件夹来搞定的。KeePassXC 缺少官方移动应用；不过 KeePassDX 和 Strongbox 可以打开同一个数据库文件，这样我的手机和平板也都能用上了。

此外，它还支持通行密钥，这些密钥存储在同一加密数据库中。它们会与你用于保管库的任何同步方法同步，并且不需要供应商的通行密钥云，就像 Apple、Google 和 1Password 那样。用起来并不觉得比之前差，但在一些边缘场景下还在追赶。

所有权意味着选择

在本地、自托管和云选项之间选择

并非所有开源方案提供的功能都一样。在某些情况下，代码可能是开放的，但他们为你运行服务器，而另一些方案则连服务器也一并交给你。

Vaultwarden 是最接近传统云密码管理器的开源方案。它是自托管的，但建立在 Bitwarden 的协议之上。这意味着，即使你自己管理后端，你仍然可以使用 Bitwarden 的应用和移动端自动填充功能。Proton Pass 提供的是开源客户端，保管库托管在 Proton 的服务器上。Pass 是一个建立在 GPG 和 Git 之上的绝佳选项，但它只适合那些整天泡在终端里的人。

KeePassXC 的独特之处在于，你的保险库从头到尾都真正属于你；你不需要信任任何公司来帮你保管保险库。

没人告诉你的代价

东西是你的，备份也得你自己管

一旦失去对 KeePassXC 保险库的访问权限，后果可能非常残酷。由于你的保险库背后没有账户，KeePassXC 没有客服热线帮你找回，也没有重置链接。如果你决定换用这个工具，这是你必须接受的第一个现实。云密码管理器通常会提供忘记密码后的找回流程。

我把 .kdbx 文件和密钥文件另外存了一份，不放在我每天用的设备上。这办法不怎么起眼，但能让我免遭整个保险库丢失的痛苦。我还推荐使用 3-2-1 备份系统：把数据存三份，放在两种不同的存储介质上，其中一份放在异地。

完全掌控胜过云端便利

我接触过的很多开源工具都很注重透明度。KeePassXC 之所以特别突出，是因为它让你对自己的密码库拥有完全的掌控权。这意味着远离云端，也意味着你要牺牲一些便利性，这很可能就是它不怎么被推荐的原因。不过，这种取舍能让人安心。它让你不用再担心服务器被入侵或第三方服务出故障。