KeePassXC：强烈推荐的跨平台开源密码管理器
-
KeePassXC：强烈推荐的跨平台开源密码管理器
目录- 🔍 什么是 KeePassXC
- 🏆 2025年重大里程碑：法国国家网络安全认证
- ⚠️ 为什么要使用密码管理器
- 🆚 为什么选择 KeePassXC 而非 1Password
- 云服务密码管理器的安全隐患：LastPass 事件警示
- 核心差异对比
- ✨ KeePassXC 的特点和功能
- 🔒 安全性
- 🖥️ 跨平台
- 📖 开源
- 🆕 最新版本功能亮点（2.7.x 系列，2024-2025）
- 🔑 Passkey（通行密钥）支持
- 📎 附件查看器增强
- 📥 新增导入格式
- 🔍 搜索功能增强
- ⚡ 性能优化
- 🖥️ 界面改进
- 📥 如何安装 KeePassXC
- Windows
- macOS
- Linux
- 🚀 快速开始：创建你的第一个密码数据库
- Step 1️⃣ 创建新数据库
- Step 2️⃣ 配置加密设置
- Step 3️⃣ 设置主密码
- Step 4️⃣ 选择保存位置
- Step 5️⃣ 开始添加条目
- 🌐 通过浏览器扩展实现自动填充
- 安装与配置步骤
- 🔑 启用 Passkey 支持
- 🛡️ 安全最佳实践
- 主密码策略
- 备份策略
- 数据库卫生
- 物理安全
- 🔧 高级功能简介
- TOTP（两步验证）
- SSH 代理集成
- 命令行工具（keepassxc-cli）
- 自动输入（Auto-Type）
- 📝 小结
- 核心优势回顾
- 🔗 资源链接
数字生活的第一步就离不开各类账号密码或者加密货币钱包私钥。因此，如何管理这些最敏感的个人数据，对于每个人而言都非常关键。这篇文章旨在提供一个明确的解决方案：KeePassXC。
我的推荐，区别于主流的使用 1Password 的方案。这是因为，对于主权个人而言，KeePassXC 是更好的方案，可以完全掌握所有数据，并实现更安全的加密工作。
💡 什么是"主权个人"（Sovereign Individual）？
这一概念源自 James Dale Davidson 和 Lord William Rees-Mogg 于1997年合著的同名书籍《The Sovereign Individual》。该书预见了信息革命对全球政治、经济和社会结构的深远影响，包括提前预测了数字货币的出现。PayPal 创始人彼得·蒂尔（Peter Thiel）为其2020年版作序，称此书对他影响深远。书中描绘的"主权个人"是指那些：
- 拥有全球视野和先进信息技术能力
- 通过加密货币和隐私保护技术实现个人资产自主
- 不依赖单一国家或机构，掌控自身命运的数字时代公民
这本书在西方被视为"加密世界的圣经"，深刻影响了科技精英和加密一代。许多现代运动如比特币（Bitcoin）、去中心化金融（DeFi）、网络国家（Network State）及自主身份（SSI）等皆受到此书启发。
对于主权个人而言，将最敏感的密码数据托管给任何第三方云服务都是不可接受的风险——这正是 KeePassXC 相较于 1Password 等云端方案的核心优势所在。
当然，更进阶的问题，会放到《密码朋克101》这门课里来讨论。本文只是一个最为基本的介绍。
🔍 什么是 KeePassXC
KeePassXC 是 KeePassX 的社区复刻版本，KeePass Password Safe（适用于 Windows）的跨平台移植。它是完全免费使用和跨平台的（Windows、Linux 和 macOS）。事实上，它也是目前 Linux 上最佳密码管理器之一。
作为一个现代、安全、开源的密码管理器，KeePassXC 被用来存储和管理你最敏感的信息。你可以在 Windows、macOS 和 Linux 系统上运行 KeePassXC。KeePassXC 适合对安全个人数据管理有极高要求的人。
它可以保存多种类型的信息，比如用户名、密码、网址、附件和备注，这些信息都存储在一个离线的加密文件中，你可以把这个文件存放在任何位置，包括私有和公共的云服务。KeePassXC 不依赖于任何云服务、广告或订阅，你自己可以完全掌控你的数据。
🏆 2025年重大里程碑：法国国家网络安全认证
2025年11月，KeePassXC 2.7.9 版本获得了法国国家网络安全局（ANSSI）颁发的一级安全认证（CSPN），认证编号为 ANSSI-CSPN-2025/16。这是一项重要的官方认可，该认证：
- 由法国政府资助并监督评估
- 有效期三年
- 同时获得德国联邦信息安全办公室（BSI）的国际认可
- 证明该软件符合ANSSI一级安全标准
这意味着 KeePassXC 不仅是社区信任的选择，更是经过权威政府机构严格审计认证的安全工具。
⚠️ 为什么要使用密码管理器
在当今的数字世界中，我们需要记住和管理许多不同的密码，比如邮箱、社交媒体、网上银行、购物网站等等。
😰 问题 📊 现实情况 密码重复使用 若使用相同或简单的密码，账户很容易被黑客破解或盗用 密码记忆困难 若你使用复杂和不同的密码，则很难记住和进行日常输入 密码管理器成为攻击目标 根据网络安全公司 Picus Security 的报告，目前约 25% 的恶意软件攻击专门针对密码管理器和凭证存储服务 这就是为啥需要密码管理器做管理的原因。密码管理器可以让我们只需要记住一个主密码，就可以访问我们所有的账户和密码。
密码管理器还可以为我们生成强大和随机的密码，以及自动填充密码到我们喜欢的应用程序中。这样，我们就可以提高我们的安全性和便利性。
🆚 为什么选择 KeePassXC 而非 1Password
在详细介绍 KeePassXC 之前，有必要解释为什么本课程推荐它而非更主流的 1Password。
云服务密码管理器的安全隐患：LastPass 事件警示
2022年8月，LastPass 遭遇了密码管理器历史上最严重的安全事件之一。攻击者成功入侵了 LastPass 四名 DevOps 工程师中的一人——该工程师拥有公司云存储关键解密密钥的访问权限。攻击者利用窃取的凭证渗透 LastPass 系统长达数月，即使在初步修复后仍保持着访问权限。这次泄露使攻击者获取了客户保险库的备份数据，暴露了加密的登录凭证以及未加密的网站URL。
这次泄露的后果至今仍在持续：
时间 事件 2024-2025年 持续发生加密货币钱包被盗事件，被盗资金通过 Wasabi Wallet 等混币器转移至高风险俄罗斯交易所 2024年 TRM Labs 追踪到超过 2800 万美元的加密货币因 2022 年 LastPass 泄露事件被盗 2024年1月30日 发生 1.5 亿美元加密货币盗窃案（受害者为 Ripple 联合创始人 Chris Larsen），2025年3月联邦检察官确认此案与 LastPass 泄露直接相关，并追回约 2400 万美元 2025年末 英国信息专员办公室（ICO）对 LastPass 处以 120 万英镑（160 万美元）罚款，认定其未能实施足够强健的安全措施 1Password 的安全记录相对较好，但也并非毫无问题：
- 2023年9月，1Password 发现其员工系统存在可疑活动，与 Okta 服务提供商事件相关（虽确认用户数据未泄露）
- 2024年8月，1Password 修复了 macOS 应用中的一个安全漏洞（CVE），在 DEF CON 2024 公开前完成修复
- 2025年，用户报告遭受针对性钓鱼攻击，引发对潜在泄露的担忧
核心差异对比
特性 KeePassXC 1Password 数据存储 本地加密文件，你完全掌控 云端存储，依赖公司服务器 费用 完全免费 订阅制收费（个人版约$3/月） 源代码 100% 开源（GPLv3），可审计 闭源专有软件，无法独立验证 加密算法 AES-256 + ChaCha20 双重选择 AES-256 密钥派生函数 Argon2id（抗 ASIC/GPU 暴力破解） PBKDF2（较老的标准） 隐私风险 无第三方访问可能 理论上公司可被传唤/入侵 历史安全事件 从未发生过数据泄露 2023年发生员工系统入侵 额外保护层 密钥文件 + YubiKey Secret Key + 生物识别 离线使用 完全支持 需要网络进行部分功能 结论：对于追求绝对数据主权的用户，KeePassXC 是唯一真正可信的选择。你的密码库只存在于你控制的设备上，任何政府传唤、公司破产或服务器入侵都无法触及你的数据。正如密码朋克的信条所言："不信任，验证"（Don't Trust, Verify）——开源软件让这成为可能。
✨ KeePassXC 的特点和功能
KeePassXC 是一个优秀的密码管理器，它有以下的特点和优势：
🔒 安全性
你的密码始终保持加密，没有任何数据存储在远程服务器上，所以你完全掌控你的数据。
KeePassXC 的多层安全架构：
安全层级 技术实现 说明 加密算法 AES-256 / ChaCha20 ChaCha20 被部分安全专家认为比 AES 具有更高的安全边际，且在缺乏硬件加速的设备上性能更优 密钥派生函数 Argon2id（推荐） / Argon2d / AES-KDF Argon2id 是 2015 年密码哈希竞赛的获胜者，相较于传统的 PBKDF2，具有更大的内存占用，使得 ASIC 和 GPU 暴力破解变得极其困难且成本高昂 多因素认证 密码 + 密钥文件 + YubiKey/OnlyKey 支持多种验证方式叠加使用，形成纵深防御 数据库格式 KDBX 4.0（推荐） / KDBX 3.1 推荐使用最新 KDBX 4.0 格式以获得完整的安全特性，包括 Argon2 和 ChaCha20 支持 内存保护 安全内存分配 敏感数据在内存中加密存储，防止内存转储攻击 🔧 Argon2id 配置建议（2025年最佳实践）：
根据 KeePassXC 官方文档和社区共识，推荐以下配置：
参数 推荐值 说明 内存 256 MiB - 2048 MiB 根据设备性能调整，移动设备建议 256 MiB 线程 2-4 建议设为 CPU 核心数的一半 迭代次数 使用基准测试确定 目标解锁时间约 1 秒 配置路径：数据库 → 数据库安全 → 加密设置 → 点击"基准测试"按钮自动优化
🖥️ 跨平台
KeePassXC 的每个功能都在 Windows、macOS 和 Linux 上进行了彻底的测试，所以你可以在不同的操作系统上享受一致的体验。KeePassXC 还支持多种文件格式，比如 kdbx、kdb、csv 等，所以你可以轻松地导入和导出你的密码数据库。
📱 移动设备支持
KeePassXC 官方团队专注于桌面平台开发，他们认为移动端已有优秀的第三方应用可以兼容 KDBX 格式。以下是经过社区验证的推荐应用：
平台 推荐应用 特点 获取方式 Android KeePassDX 开源（GPLv3），功能完整，支持生物识别，Material Design 界面 F-Droid / Google Play Android KeePass2Android 支持多种云同步，键盘集成，快速解锁 Google Play iOS KeePassium 开源，支持 YubiKey（NFC 和 Lightning），原生 iOS 设计 App Store（免费版/高级版） iOS Strongbox 功能丰富，支持 Face ID / Touch ID，iCloud 同步 App Store（免费版/专业版） 💡 多设备同步方案：
将
.kdbx数据库文件存放在你控制的云存储中，即可实现多设备同步。推荐方案（按隐私程度排序）：- Syncthing：去中心化 P2P 同步，数据不经过第三方服务器（最推荐）
- 自建 Nextcloud：完全自主可控的云存储
- Cryptomator + 任意云存储：在云存储层之上添加加密层
- 加密后的 Dropbox/OneDrive：虽然是商业服务，但 KDBX 本身已加密
📖 开源
KeePassXC 的源代码完全开源，遵循 GPLv3 许可证，并公开在 GitHub 上。你可以自由地检查、分享和贡献代码。KeePassXC 的开发是由社区驱动的，你可以在 GitHub 上提交问题和建议，或者加入 Matrix 频道与开发者和用户交流。
开源对安全意味着什么：
优势 说明 ✅ 可审计性 任何人都可以检查代码，确认没有后门或恶意功能 ✅ 快速响应 安全漏洞被发现后可以公开讨论并快速修复 ✅ 不依赖单一实体 即使原开发团队消失，社区仍可继续维护 ✅ 透明的安全模型 加密实现可被密码学专家独立验证 ✅ 符合密码朋克精神 "不信任，验证"（Don't Trust, Verify） 🆕 最新版本功能亮点（2.7.x 系列，2024-2025）
以下是 KeePassXC 近期新增的重要功能：
🔑 Passkey（通行密钥）支持
从 2.7.7 版本开始，KeePassXC 支持 WebAuthn/Passkey 标准，这是一项革命性的无密码认证技术，被认为是密码的未来替代方案：
什么是 Passkey？
Passkey 是基于公钥密码学的认证凭证，相比传统密码具有以下优势：
- 不会被钓鱼（凭证与特定域名绑定）
- 不会被撞库（每个网站使用唯一密钥对）
- 不需要记忆（设备自动管理）
KeePassXC Passkey 技术细节：
项目 说明 支持的算法 椭圆曲线（EC2, ES256, P-256）、2048位 RSA、EdDSA（Ed25519） 存储格式 JSON 格式，包含 URL、依赖方、用户名和私钥 启用方式 在浏览器扩展设置中勾选"Enable passkeys" 使用流程 登录支持 Passkey 的网站时，KeePassXC 会弹出确认对话框 ⚠️ 当前限制：Resident Key 支持尚不完善，与 KeePassDX 的跨平台 Passkey 兼容性仍存在问题（截至 2025 年初）
📎 附件查看器增强
无需导出即可直接在 KeePassXC 中预览附件：
- 图片预览（PNG、JPG、GIF 等）
- HTML 渲染预览
- Markdown 格式化预览
- 文本文件编辑
📥 新增导入格式
2.7.x 系列新增支持从以下来源导入：
- Proton Pass
- Safari / iCloud Keychain
- 更多 CSV 格式变体
🔍 搜索功能增强
- "等待回车"搜索选项：输入完成后再执行搜索，避免频繁刷新
- 预定义的 TOTP 条目搜索：快速筛选包含两步验证的条目
- 从搜索结果直接跳转到分组的快捷键
⚡ 性能优化
- TOTP 生成速度：2.7.9 版本大幅优化了基于时间的一次性密码生成速度，消除了生成延迟
- 大型数据库性能：改进了包含数千条目的数据库的响应速度
🖥️ 界面改进
- 深色模式优化：更好的系统主题适配
- 条目预览面板：无需打开编辑器即可查看条目详情
- 快速解锁：支持 Windows Hello 和 macOS Touch ID（通过 Secret Service 集成）
📥 如何安装 KeePassXC
Windows
- 访问官方网站：https://keepassxc.org/download/
- 下载 MSI 安装包或便携版（Portable）
- 运行安装程序或解压便携版到任意目录
💡 便携版特点：无需安装，可存放在 U 盘中随身携带
macOS
方式一：官方 DMG
- 访问官方网站：https://keepassxc.org/download/
- 下载 DMG 文件
- 拖拽到 Applications 文件夹
方式二：Homebrew（推荐）
brew install --cask keepassxcLinux
Ubuntu/Debian（官方 PPA，推荐）：
sudo add-apt-repository ppa:phoerious/keepassxc sudo apt update sudo apt install keepassxc其他 Linux 发行版：
方式 命令/说明 特点 Flatpak flatpak install flathub org.keepassxc.KeePassXC沙盒隔离，跨发行版通用 Snap sudo snap install keepassxcUbuntu 生态，自动更新 AppImage 从官网下载 .AppImage文件，添加执行权限后直接运行无需安装，便携使用 Arch Linux sudo pacman -S keepassxc官方仓库收录 Fedora sudo dnf install keepassxc官方仓库收录 💡 建议：优先使用官方 PPA 或 Flatpak，以获得及时的安全更新
🚀 快速开始：创建你的第一个密码数据库
安装好 KeePassXC 后，按以下步骤创建你的安全密码库：
Step 1️⃣ 创建新数据库
- 启动 KeePassXC
- 点击「创建新数据库」或使用菜单「数据库 → 新建数据库」
- 设置数据库名称和描述（可选）
- 点击「继续」
Step 2️⃣ 配置加密设置
- 数据库格式：选择
KDBX 4.0（默认，推荐） - 解密时间：建议设置为 1.0 秒（在安全性和便利性之间取得平衡）
- 点击「继续」进入高级设置（可选）：
- 加密算法：AES-256（兼容性好）或 ChaCha20（安全边际更高）
- 密钥派生函数：Argon2id（推荐）
- 点击「基准测试」按钮自动优化参数
Step 3️⃣ 设置主密码
这是保护整个密码库的关键，请务必认真对待：
✅ 强主密码的特征：
- 长度至少 16 字符（建议 20+）
- 包含大写字母、小写字母、数字和符号
- 不包含个人信息（生日、名字、电话等）
- 从未在其他地方使用过
💡 推荐方法：使用密码短语（Passphrase）
密码短语比随机字符更容易记忆，同时保持高强度。例如：
Correct-Horse-Battery-Staple-2024!My-Cat-Loves-2-Sleep@Noon-Everyday春眠不觉晓#处处闻啼鸟@2025
🔐 可选的额外保护层：
保护方式 说明 适用场景 密钥文件 一个独立的文件，与主密码共同用于解锁数据库 存放在 U 盘或独立设备上，增加物理安全性 YubiKey/OnlyKey 硬件安全密钥，支持 HMAC-SHA1 挑战响应 最高安全需求，防止主密码被键盘记录器捕获 Step 4️⃣ 选择保存位置
- 选择数据库文件的保存位置
- 建议：保存到你完全控制的位置，如：
- 本地加密分区
- 自建云存储（Nextcloud）
- Syncthing 同步文件夹
Step 5️⃣ 开始添加条目
- 点击工具栏的「+」按钮或使用
Ctrl+N创建新条目 - 填写标题、用户名、URL 等信息
- 使用密码生成器：点击密码字段旁的骰子图标
- 建议长度：20 字符以上
- 勾选所有字符类型
- 避免易混淆字符（可选）
- 利用「分组」功能组织不同类型的账户（如：社交媒体、金融、工作等）
- 保存条目并定期保存数据库（
Ctrl+S）
🌐 通过浏览器扩展实现自动填充
KeePassXC 还提供了一个浏览器扩展，叫做 KeePassXC-Browser，它可以让你在浏览器中直接使用 KeePassXC 的功能，比如自动填充密码、生成密码、保存密码等。
安装与配置步骤
第一步：在 KeePassXC 中启用浏览器集成
- 打开 KeePassXC
- 进入「工具」→「设置」→「浏览器集成」
- 勾选「启用浏览器集成」
- 在下方勾选你使用的浏览器（Chrome、Firefox、Edge 等）
- 点击「确定」保存设置
第二步：安装浏览器扩展
浏览器 安装来源 Chrome/Edge/Brave Chrome Web Store Firefox Firefox Add-ons 第三步：连接扩展与 KeePassXC
- 确保 KeePassXC 正在运行且数据库已解锁
- 在浏览器中点击 KeePassXC-Browser 扩展图标
- 点击「连接」按钮
- 在 KeePassXC 弹出的对话框中，为此连接命名（如"我的 Chrome"）
- 点击「保存并允许访问」
第四步：日常使用
- 自动填充：访问已保存的网站时，扩展会自动检测并提供填充选项
- 保存新密码：注册新账户时，扩展会提示保存凭证
- 生成密码：点击扩展图标 → 密码生成器
🔑 启用 Passkey 支持
若要使用 Passkey 功能：
- 打开浏览器扩展的设置页面
- 找到「Enable passkeys」选项并启用
- 登录支持 Passkey 的网站时，KeePassXC 会弹出确认对话框
- 确认后，Passkey 凭证将存储在你的数据库中
支持 Passkey 的常见网站（持续增加中）：
- Microsoft
- GitHub
- Cloudflare
- 更多网站正在支持中...
🛡️ 安全最佳实践
为了最大化 KeePassXC 的安全性，建议遵循以下实践：
主密码策略
✅ 推荐做法 ❌ 应当避免 16+ 字符的复杂密码或密码短语 少于 12 字符的密码 包含大小写字母、数字、符号 仅使用小写字母或数字 使用助记性的密码短语 字典单词或常见短语 定期在安全环境下输入以保持记忆 个人信息（生日、名字、电话等） 考虑添加密钥文件作为第二因素 其他地方使用过的密码 备份策略
数据丢失可能比被盗更常见，请务必建立完善的备份机制：
备份项目 建议做法 数据库文件（.kdbx） 定期备份到多个位置：本地硬盘、外部存储、加密云存储 密钥文件 与数据库分开存储，备份到独立的安全位置 主密码 考虑使用 Shamir's Secret Sharing 分割存储于多个信任方 恢复文档 记录完整的恢复步骤，存放在物理安全位置 💡 推荐备份方案：
- 3-2-1 规则：至少 3 份副本，存储在 2 种不同介质上，其中 1 份异地存放
- 加密离线备份：使用 VeraCrypt 加密的 U 盘作为冷备份
- 定期验证：每季度测试一次备份文件的可用性
数据库卫生
周期 操作 每次使用后 确保 KeePassXC 正确锁定或关闭 每月 审查并删除不再使用的条目 每季度 使用「密码健康检查」功能，更新弱密码和重复密码 每年 审查所有重要账户，更新关键密码 物理安全
- 锁定策略：设置自动锁定时间（建议 5-15 分钟无活动后锁定）
- 安全输入：在公共场所输入主密码时注意周围环境
- 设备安全：确保运行 KeePassXC 的设备本身是安全的（磁盘加密、强登录密码等）
🔧 高级功能简介
KeePassXC 还提供了许多高级功能，以下是简要介绍：
TOTP（两步验证）
KeePassXC 可以存储和生成 TOTP 验证码，替代 Google Authenticator 等应用：
- 编辑条目 → 点击「添加 TOTP」
- 输入网站提供的密钥或扫描二维码
- 保存后，条目会显示动态验证码
⚠️ 安全提示：将 TOTP 与密码存储在同一处会降低两步验证的安全性。对于最敏感的账户，考虑使用独立的硬件密钥（如 YubiKey）。
SSH 代理集成
KeePassXC 可以作为 SSH 密钥的代理，自动管理 SSH 认证：
- 将 SSH 私钥作为附件添加到条目中
- 在条目设置中启用「SSH 代理」
- 配置系统使用 KeePassXC 的 SSH 代理
命令行工具（keepassxc-cli）
KeePassXC 提供命令行界面，支持脚本化操作：
# 列出数据库中的条目 keepassxc-cli ls /path/to/database.kdbx # 获取特定条目的密码 keepassxc-cli show -s /path/to/database.kdbx "Entry Name" # 添加新条目 keepassxc-cli add /path/to/database.kdbx "Entry Name" -u username -p自动输入（Auto-Type）
无需浏览器扩展，使用全局快捷键自动输入凭证：
- 「设置」→「自动输入」→ 启用并设置全局快捷键
- 在目标应用的登录窗口按下快捷键
- KeePassXC 根据窗口标题匹配条目并自动输入
📝 小结
KeePassXC 是一个现代、安全、开源的密码管理器，它可以存储和管理你最敏感的信息。
核心优势回顾
特性 说明 🔒 绝对隐私 数据从不离开你的设备，无任何第三方可以访问 🛡️ 军事级加密 AES-256/ChaCha20 + Argon2id，抵御暴力破解 🏆 官方认证 法国 ANSSI 一级安全认证（2025年） 💰 完全免费 无订阅费、无广告、无追踪、无数据收集 📖 开源透明 GPLv3 许可，代码公开可审计 🖥️ 跨平台 Windows、macOS、Linux + 移动端兼容应用 🔑 前沿技术 Passkey/WebAuthn 支持，面向未来 🔧 功能丰富 TOTP、SSH 代理、自动输入、浏览器集成等 对于追求数据主权、不愿将最敏感信息托付给任何第三方的用户——无论你是密码朋克、加密货币持有者、隐私倡导者还是普通的数字公民——KeePassXC 是当前最可靠、最安全、最值得信赖的选择。
🔗 资源链接
资源 链接 🌐 官方网站 https://keepassxc.org 📚 官方文档 https://keepassxc.org/docs/ 💻 GitHub 仓库 https://github.com/keepassxreboot/keepassxc 🔌 浏览器扩展 https://keepassxc.org/download/#browser 📱 KeePassDX (Android) https://www.keepassdx.com/ 📱 KeePassium (iOS) https://keepassium.com/ 📱 Strongbox (iOS) https://strongboxsafe.com/ -
0 回复
歡迎留言回复交流。
Log in to reply.