「密码管理器，说到底不就是那里一旦被攻破就全完了吗？」——针对最常见的这个担忧，本文从原理出发诚实作答。这里不涉及攻击手法，只讲安全性的依据，以及适合自己的选择方法。
用原理回答「集中在一处真的没问题吗？」
担忧的本质是「集中＝单点故障」。这一点用零知识加密能大大缓解。
由此导出的实务铁律只有一条——让主密码做到「长、唯一、不离开设备」。如果这里薄弱，被偷走的密文就留有被人花时间破解的余地。强度的参考标准可在 密码强度检查器 确认。
真正能守护你的 3 个机制
它的价值远不止「不用记忆的金库」。
尤其有效的是自动填充的抗钓鱼能力。人很难辨别与真品几乎一模一样的假域名，但管理器只要登记的域名不一致就不会填入，于是「咦，怎么填不进去」就成了假网站的警报。靠手动从表格复制粘贴的做法，没有这道防御。
云端型 vs 本地型 —— 按用途选择
两者都是零知识（提供方看不到内容）。区别在于「同步由谁掌握」。
云端型（Bitwarden / 1Password）
- 在所有设备上自动同步、共享省心
- 备份与恢复的引导路径完善
- 内容始终保持加密（提供方也读不出）
- 操作省事易于坚持＝多数人的正解
本地型（KeePass 等）
- 把加密文件（.kdbx）自己放到 Drive 等处来同步
- 适合完全不想让提供方介入的人
- 同步、备份都是自负其责
- 适合以离线为主、想完全在手边管理的人
两者都向安全一侧设计。请以能否坚持来选择。比起完美却用着用着就放弃的工具，朴素但每天都能用的工具，结果上更能守护你。
安全的选择方法（核查清单）
必须是零知识（端侧加密）
能给金库本身加上 MFA
备有恢复手段
支持你使用的全部设备
上手方法、迁移方法
选一个并安装
把主密码做到长且唯一
给金库和邮箱/主要账户加 MFA
导入既有密码，从弱的开始换成强的不同密码
确实清除明文的存放处
支持的服务转向 passkey
本站的视角：要守的就是『金库的钥匙』这一点。选能坚持的工具
本站从不把秘密（密码、密钥、连接信息）以明文放在共享文档或代码里，日常登录都用密码管理器统一管理。重要的只有两点——把主密码做到长且唯一，以及给金库加上抗钓鱼 MFA。在零知识的设计下，攻击者能下手的单点故障就集中在那里，所以守住那里，整体就稳固了。而选工具时最重要的，不是功能多少，而是易于坚持。每天都能用的，结果上才是最强的防御。
接下来阅读
- 保管：密码的正确保管（不再明文保存）
- 原理：服务端是怎样保存的（哈希＋加盐）
- 两步：多因素认证（MFA）指南
- 无密码：什么是 passkey（从支持的服务开始迁移）
- 根基：安全最低限度核查清单
- 工具：密码强度检查器
FAQ
Q把所有密码集中在一处，那里一旦被攻破不就一下子全军覆没了吗？
这种担忧很自然，但正经的密码管理器都采用零知识加密设计。它从你的主密码在端侧生成密钥，金库在端上加密后再同步，因此提供方（云端）只拿到密文。即使提供方被入侵，泄露的也只是密文，没有你的主密码就读不出内容。所以真正要守住的单点故障，集中在『主密码＋金库的 MFA』这一点上。
Q云端型和本地型，该选哪个？
想在所有设备上轻松同步、想和家人或少数人共享，就选云端型（Bitwarden/1Password）。想自己完全掌控同步、连提供方都不想让其介入，就选本地型（KeePass：把加密文件自己放到 Drive 等处）。两者都是零知识，提供方都看不到内容。以能否坚持使用来选才是正解，比起用不下去的完美工具，能一直用下去的工具更胜一筹。
Q浏览器保存和专用管理器有什么区别？
浏览器保存近年也会加密，但专用管理器一以贯之地具备：生成强密码、在假域名上不自动填充的抗钓鱼能力、泄露监控、跨设备的零知识同步，乃至 passkey 支持。至少用浏览器保存也有『不再重复使用』的效果，但主力还是专用管理器。