账号越来越多，密码却还是那几个轮着用。想改成每个网站一个独立密码，又怕过两天自己先忘了。密码管理器可以解决“记不住”的问题，但有人并不想把整套密码都放进一项在线服务。
KeePassXC 是另一种做法：密码放在一个加密数据库文件里，由自己保存。桌面应用支持 Windows、macOS 和 Linux，不要求先注册云端账号。
控制权更多，责任也更多。主密码忘了、数据库唯一副本丢了，项目方不能像普通网站那样发邮件帮你重置。下面先建立一个只放测试内容的密码库，确认保存、解锁和备份都能做，再考虑迁入真实账号。
先分清密码库、主密码和网站密码
数据库是一个通常以 .kdbx 结尾的文件，里面可以放很多条记录。主密码用于解锁这个文件；某一条记录里的密码，则用于登录相应网站。两者不应该混为一谈。
加密文件不等于电脑上所有操作都自动安全。解锁以后，软件需要在内存里处理内容；恶意软件、被控制的电脑、错误的分享对象，仍会带来风险。它也不能判断你正在输入密码的网站是不是冒牌站点。
因此，不要把“本地密码管理”理解为“永远不会联网、不会泄漏”。浏览器集成、可选图标下载，以及你自行选择的文件同步服务，都有各自的数据路径。先理解自己的设置，再决定开启什么。
安装后，建立一个测试库
只从 KeePassXC 官网下载或官网链接的正式发布页获取安装包。选择与系统对应的版本，按安装向导完成；不必自己编译。需要校验来源时，参考官方签名验证说明，不要拿不明网站提供的“校验通过”图片作保证。
打开应用，选择创建新数据库，名字可用“练习密码库”。入门指南介绍了向导；第一次保持默认加密配置，不为追求解锁速度随意降低保护，也不把自己不理解的参数全部改一遍。
设定一个足够长、随机性好的主密码或口令，避免生日、账号名、歌词和已有网站密码。本文不提供让所有读者照抄的“强密码示例”，因为一旦大家都用同一句，它就失去意义。
主密码要有可靠的保管与恢复计划。可以把恢复所需信息记录在自己能控制的安全离线位置，但不能只放在这个密码库里，也不要与数据库一起放在一个公开共享文件夹。每个人的环境不同，便利和风险需要自己权衡。
保存数据库时，选一个明确、长期保留的位置，例如专门的私人文件目录，而不是临时下载目录。记下实际路径。软件本身、最近文件列表和数据库文件不是同一样东西：卸载软件未必删除文件，重装软件也不会凭空恢复丢失的库。
新建一条记录，再锁上重新打开
第一次只用假资料。建立一条名为“测试网站”的记录，用户名填 demo-user，网址可以填 https://example.com。它只是说明字段用法，不需要真的创建账号。
打开新建记录的密码生成器，生成一串随机密码，保存到记录。完成后保存数据库，再执行锁定。重新打开这个库，用刚才的主密码解锁，确认测试记录仍然存在，标题、用户名和网址都没有填错。
需要复制密码时，先明确粘贴目标，再复制。不要把密码粘进搜索框、聊天窗口或共享终端。应用的剪贴板清理设置值得检查，但剪贴板历史、同步工具或其他程序可能已经保留了内容，不能承诺清理一次就消除了所有副本。
临时离开电脑时锁定数据库，并检查自动锁定设置。没有必要让密码库整天保持解锁；反过来，锁得太频繁、逼得自己改用明文便签，也不是好的使用方式。
真实网站改密码时要多做一步：先确认新密码已经在网站成功生效，再核对库里保存的记录。仅在 KeePassXC 里换一个字符串，不会自动替网站改密码。完成前保留必要的恢复信息，不要一边误改、一边把旧记录删干净。
浏览器集成，等基本流程熟了再开
如果想减少复制粘贴，可以按官方入门指南的浏览器集成部分，开启桌面端对应浏览器的集成，安装官方 KeePassXC-Browser 扩展，再完成连接确认。
认准官网给出的扩展入口，不要因为名字相似就安装。连接后，先用测试或不敏感的记录观察匹配网址和填写目标，别一上来拿主要邮箱、财务账号测试。网站有多个子域名或不同登录入口时，注意记录里的 URL 是否合理。
浏览器扩展不能代替检查地址栏。页面长得像熟悉的站点，不代表域名正确；看到意外授权、异常弹窗，先停下来。不要把自动填写范围越开越广，只为省掉一次选择。
如果不喜欢安装扩展，保持手动复制也可以。管理器的核心价值是独立密码与可靠保存，不是一定要用到所有自动化功能。
备份要验证，导出要当敏感文件
确认数据库已经保存，再把 .kdbx 复制到另一个安全位置，至少不要只留在同一块磁盘。备份文件同样需要可靠保管；主密码保密不意味着可以把整个密码库随便公开。
用备份副本打开一次，检查测试记录，再关闭它，回到原库。不要同时修改多个副本后混着用，那会带来版本判断和同步冲突的问题。随着记录增加，备份也要更新，旧副本里可能仍保留旧密码。
从其他管理器导入时，常会经过 CSV 一类中间文件。它们可能包含明文账号和密码，不要传聊天、上传公共网盘或提交 Git 仓库。导入前确认来源和字段映射，导入后抽查几条；未核对成功之前，不要删掉原来唯一可用的数据。
导出的临时文件要按敏感资料处理，留意下载目录、回收站、自动备份和同步副本。简单删除不等于一定无法恢复；更重要的是尽量减少产生明文副本的次数和范围。
第一周先别把保护堆满
KeePassXC 支持密钥文件与硬件相关的额外保护，但它们不是“勾选以后只会更安全、没有代价”的开关。官方 FAQ特别解释了密钥文件的丢失与变化风险。数据库备份在、关键的解锁材料不在，同样可能无法打开。
新手先弄清主密码、数据库保存和备份恢复，再考虑额外保护。不要把一个会被编辑的软件文档随手当作密钥文件，也不要把所有解锁材料和数据库一起同步到同一公开位置。
网站二步验证的恢复码，也应有独立的保管计划。把网站密码和它的 TOTP 秘密放在同一个库更方便，但会减少两者隔离的效果；官方 FAQ 建议需要更强隔离时分别保管。不要为了省事把所有安全问题都压到一个文件上。
这个项目的主要许可是 GPL-3.0，具体组件说明见仓库 COPYING。它适合愿意管理本地密码库、并能认真处理备份的人。若最需要的是全家无感同步和成熟的账号恢复服务，其他管理方式可能更合适。先用假资料走通整套流程，再逐步搬真实账号，这一步不能省。
https://github.com/keepassxreboot/keepassxc
