密码与密钥管理工具怎么选：五类方案、许可与迁移成本

这份清单解决一个问题：手里十几二十个账号，密码库该放在哪、由谁托管、换工具时能不能带走。下面把 KeePassXC、Bitwarden、Vaultwarden、pass 与 1Password 放进同一张表，按自托管、加密模型、平台覆盖、团队共享与迁移成本逐项比较，末尾给三条结论。

先定六条选型标准

密码管理器的差别不在界面，在四五个结构性选择上。先回答下面几问，候选范围会迅速缩小。

• 库放在哪：文件在你自己的磁盘或网盘上，还是存在服务商机房。前者要自己管同步与备份，后者把可用性外包出去。
• 加密模型：是端到端、服务端只存密文，还是服务端能参与解密。宣称「零知识」的产品，要看其文档对密钥派生与同步的描述。
• 平台覆盖：桌面三系统、移动双端、浏览器扩展是否齐全，扩展是靠本地集成还是云端 API。
• 团队共享：能不能按库、按条目分权限，有没有审计日志与成员回收。
• 迁移成本：导出格式是加密归档、CSV 还是明文文件，导入方是否提供对应脚本。
• 运维成本：自托管要自己处理 HTTPS、反向代理、备份与升级，这部分工时通常被低估。

五类方案一张对照表

表中许可一列来自各项目页面：KeePassXC 官网写明 GPLv3，pass 官网写明 GPLv2+，Vaultwarden 仓库标注 AGPL-3.0，Bitwarden 服务端仓库同时放了 AGPL 与 Bitwarden License 两份许可文件。价格不写进表，因为各家调价频繁，以下单页为准。

KeePassXC 与 pass：文件在你自己手里

KeePassXC 把账号存进一个离线加密的 KDBX 文件，官网的表述是「no cloud, no ads, no subscriptions」。它没有同步服务，所谓同步就是把文件放进你信任的存储：网盘目录、Git 仓库、或者 Syncthing 之类的点对点工具。便利与责任是一体的，冲突处理、版本回滚、误删恢复都得自己安排。

浏览器自动填充不是内置的，要装 KeePassXC-Browser 扩展。按扩展仓库的说明，它通过 native messaging 与桌面端通信，中间由 keepassxc-proxy 转发到本地套接字或命名管道，因此桌面端得在运行。Firefox、Chrome/Chromium、Edge 都有对应版本。这套机制的好处是密码不出本机，代价是多一层配置，换电脑要重配一次。

pass 更极端一些：每个条目就是 ~/.password-store 下一个 GPG 加密文件，文件名即站点名。官网写明它支持 pass git init，此后每次增删改都产生一次提交，同步就是 pass git push 与 pull。命令行之外，社区提供了 QtPass、Android-Password-Store、passforios、passff、browserpass 等前端，质量参差，得自己挑。它还附带一批导入脚本，覆盖 1Password、KeePass、LastPass 等来源。

它的局限也就摆在明面上。条目没有统一结构，TOTP、备注、附件怎么放全靠自己约定；GPG 私钥一旦丢失，库等于全丢，所以私钥备份与密码库备份要分开做。团队共享得靠多人密钥或额外工具，顺手程度不如商业产品。

Bitwarden 与 Vaultwarden：同一个客户端，两种服务端

Bitwarden 的免费档已经包含无限制密码与设备、通行密钥管理、零知识加密与加密导出，这一点在其定价页的「Core features included in every Bitwarden account」里写明。付费档按同一页面（访问日期 2026-11-10）：Premium 每月 1.65 美元、年付 19.80 美元；Families 每月 3.99 美元、含 6 个账号；Teams 每人每月 4 美元；Enterprise 每人每月 6 美元，自托管权限列在这一档。价格随活动变动，下单前请以页面实时数字为准。

Vaultwarden 是另一条路。仓库自述为「Unofficial Bitwarden compatible server written in Rust」，用官方客户端连自建服务端，Docker 镜像是推荐装法。它的卖点是对硬件要求低，适合家里的小主机；代价写在 README 里：Web 库依赖 Web Crypto API，必须启用 HTTPS 与安全上下文，官方建议再加一层反向代理。仓库还明确声明与 Bitwarden 公司无关联，且不对数据丢失负责，建议定期备份文件与数据库。

选这一组时要算清边界：官方自托管属于企业档权益，功能齐全但部署重；Vaultwarden 轻，但它是兼容实现，官方客户端升级后偶有功能滞后，出问题也不能走官方支持渠道。云端的另一面是依赖：账号被锁、区域故障或订阅到期，都会直接落到日常登录上，所以两份加密导出要定期留在自己手里。备份策略可以参照本站 自建备份工具清单，把数据库与附件分开备。

1Password：托管服务，省事但退出成本要算

1Password 是闭源订阅制，服务端由官方托管，没有整库自托管选项。开发者文档里能自托管的只有 Connect 服务端，用于机密自动化，把凭据缓存进自己的基础设施，这与「密码库放在自己机房」不是一回事。它的官网定价页当前以企业方案报价为主，个人与家庭计划需在站内另选，本文不引用具体数字。

它的优势在客户端打磨与团队治理：权限分层、审计日志、设备信任这些做得完整，适合不想碰运维的团队。要留意的是退出路径——订阅停止后能否完整导出，导出物能否被目标工具直接读入。这一点在选型阶段就该验证，而不是等到续费那天。

三条结论

1. 只有一台电脑、愿意自己管文件，KeePassXC 是投入产出比合适的一档；同步交给已有的网盘或 Syncthing，别为它再搭一套服务。
2. 要给家人或五到十人的小团队用，优先 Bitwarden 云，嫌订阅贵再上 Vaultwarden，但先把 HTTPS、备份、升级三件事写成清单，缺一件就别上线。
3. 命令行重度用户选 pass，前提是接受 GPG 的密钥管理成本；纯图形化办公、又需要审计与权限的团队，1Password 省下的是运维时间，付出的是订阅费与迁移约束。

三条之外还有一个通用建议：无论选哪个，先把现有密码全量导入、再从中随机抽十条手动登录验证，确认没有乱码与截断，再删旧库。通行密钥的注册与保管逻辑可以另看本站 Passkey 通行密钥怎么工作；如果同步靠点对点工具，Syncthing 2.1 上手那篇里的端口与服务配置可以直接复用。

相关地址

以下为文中五个方案的官方入口与仓库，许可、价格与部署说明以这些页面为准。

• KeePassXC（官网）：https://keepassxc.org/
• KeePassXC（下载页）：https://keepassxc.org/download
• KeePassXC-Browser（扩展仓库）：https://github.com/keepassxreboot/keepassxc-browser
• Bitwarden（定价页）：https://bitwarden.com/pricing/
• Bitwarden（服务端仓库）：https://github.com/bitwarden/server
• Vaultwarden（GitHub 仓库）：https://github.com/dani-garcia/vaultwarden
• pass（官网）：https://www.passwordstore.org/
• pass（源码仓库）：https://git.zx2c4.com/password-store/
• 1Password（官网）：https://1password.com/
• 1Password Connect（自托管说明）：https://developer.1password.com/docs/secrets-automation