开源（MPL-2.0）、免费、可私有部署的 Web 密码管理器：密码库可以完全放在自己的 NAS/服务器上，Docker 一行命令跑起来。适合隐私党和自托管玩家；但要想清楚——它没有浏览器扩展和移动 App，官方文档也尚未写明具体加密算法。
信息核验时点：2026-10-11（当前版本 1.5.15，2026-09-14 发布）
本文要点
- 一句话定义：password-XL 是开源（MPL-2.0）、免费、可私有部署的 Web 密码管理器。
- 数据放在哪：自己的服务器或 NAS、浏览器本地离线存储，或阿里云 OSS、腾讯云 COS 同步，按掌控程度排序。
- 功能覆盖：标签分类、智能搜索、回收站、密码生成器与强度检测、密钥类笔记、主密码加手势解锁。
- AI 批量导入：粘贴旧工具导出内容即可批量建条目，但等于把明文交给 AI，官方未说明本地还是云端推理。
- 加密细节：官方 README 未写明具体加密算法，流传的 AES-256-GCM 说法并非官方原文。
- 版本与时效：1.5.15（2026-09-14 发布），项目 2024 年 7 月创建，百余 Star 但仍在发版。
- 短板：无浏览器扩展、无原生移动 App；属早期单人项目，外部审计有限；官方在线版与私有部署是两种信任模型。
一、password-XL 是什么？
password-XL 是由国内开发者发起的开源密码管理工具（GitHub：peng0105/password-xl），采用 SpringBoot3 + Vue3 + TypeScript 的前后端分离架构，以 Web 界面提供服务。
| 项目 | 内容 |
|---|---|
| 软件名称 | password-XL |
| 当前版本 | 1.5.15（2026-09-14） |
| 授权协议 | MPL-2.0，免费使用 |
| 形态 | Web 应用（响应式，电脑/平板/手机浏览器可用） |
| 源码仓库 | https://github.com/peng0105/password-xl |
| 官方在线服务 | https://password-xl.cn |
项目 2024 年 7 月创建，目前规模不大（百余 Star）但维护活跃，2026 年 9 月仍在发版。设计核心是"数据主权在用户手里"：既可以用官方在线版，也可以把整套系统部署在自己的服务器、NAS 甚至一台闲置电脑上。
二、四种存储方式
按对数据的掌控程度，从高到低：
- 私有服务：部署在自己的服务器/NAS，数据只走本地网络
- 本地存储：数据保存在浏览器本地，完全离线
- 阿里云 OSS / 腾讯云 COS：用对象存储做多设备同步
选哪种取决于你信任谁——自己的内网，还是云厂商的存储桶，还是官方服务器。
三、功能亮点
- 密码管理：标签分类、收藏夹、卡片/列表双视图、智能搜索（名称/用户名/标签/备注）、多维自定义排序、密码回收站（需手动开启）
- 密码生成器与强度检测：自定义长度与字符组合；强中弱三色标注
- 笔记功能：软件序列号、API Key、SSH 密钥、服务器地址这类"非密码"敏感信息也能加密存放
- 解锁方式：主密码 + 手势密码 + 超时自动锁定（官方口径）
- 快捷键：锁定
Alt+L、搜索Ctrl+F、新建Alt+N、保存Ctrl+S、聚焦搜索/ - 界面：浅色/深色双主题，响应式布局
四、AI 批量导入：方便，但想清楚再用
password-XL 的特色功能：把旧工具（1Password、Bitwarden、浏览器）导出的密码文件，或整理成文字的账号密码直接粘贴进去，AI 自动识别字段、批量生成条目。
⚠️ 隐私边界务必想清楚：这等于把明文密码内容交给 AI 服务处理，而官方文档没有说明这一步是本地推理还是云端调用。建议：
- 最核心的几十个密码，手动逐条录入，别走 AI 导入
- 确有批量迁移需求时，先拿不重要的账号试水
- 整理用的明文临时文件，导完即删
五、安全机制的已知与未知
已明确（官方口径）：主密码加密存储、手势解锁、超时自动锁定、代码开源可审查、主密码遗失无法找回。
尚未明确：官方 README 没有写明具体加密算法。第三方评测流传"AES-256-GCM 端到端加密 + PBKDF2-SHA512 密钥派生"的说法，但那不是官方文档原文。对一个密码管理器来说，这属于应该直接向作者求证的点——开源的好处恰恰是你可以自己看代码或提 Issue 问。
六、和主流方案比怎么样？
| 对比维度 | password-XL | 1Password | Bitwarden | 浏览器自带 |
|---|---|---|---|---|
| 价格 | 完全免费 | 订阅制 | 免费版有限制 | 免费 |
| 私有部署 | ✅ Docker/Jar/NAS | ❌ | ✅ 自托管版 | ❌ |
| 开源 | ✅ MPL-2.0 | ❌ 闭源 | ✅ 开源 | ❌ 闭源 |
| 浏览器自动填充 | ❌ 无扩展 | ✅ | ✅ | ✅ |
| 原生移动 App | ❌（响应式网页） | ✅ | ✅ | 浏览器内 |
| 笔记功能 | ✅ | ✅ | 部分支持 | ❌ |
| 成熟度/社区审计 | 早期项目，社区小 | 成熟商业产品 | 大型开源社区 | — |
简单总结：最在意数据主权、家里有 NAS/服务器——password-XL 值得一试；重度依赖浏览器填充和手机 App——商业产品体验更完整。 两者不冲突：核心密码自托管，日常浏览器的交给 Bitwarden。
七、部署与上手
方式一：官方在线版（最快）
访问 password-xl.cn 注册即用。注意这属于"数据在官方服务器"的信任模型，与私有部署不同。
方式二：Docker 私有部署（推荐）
# 拉取镜像
docker pull ccr.ccs.tencentyun.com/password-xl/password-xl-service:latest
# 创建挂载目录
mkdir -p /data/software/password-xl
# 运行容器
docker run -d --name password-xl \
-p 8080:8080 \
-v /data/software/password-xl:/password-xl-service \
ccr.ccs.tencentyun.com/password-xl/password-xl-service:latest启动后访问 http://你的IP:8080，初始账号密码在启动日志里，记得立即修改。
实用小技巧
- 先开回收站：设置里开启，防止误删
- 超时锁定设 5-10 分钟：离开电脑不裸奔
- 定期导出备份：多一份保障
- 主密码务必妥善保管：遗失即全部无法找回
八、诚实短板
- 无浏览器扩展、无原生移动 App：自动填充是刚需的用户不适合
- 早期单人项目：百余 Star 的社区规模，意味着外部审计有限——"开源"不等于"已被充分审查"
- 加密算法细节官方未成文：见第五节，用前建议求证
- 官方在线版与"私有部署"是两种信任模型：宣传语里的"数据不出本地"只在自部署时成立
九、谁适合用？
- NAS 用户（群晖、威联通、极空间）：Docker 一键部署，内网访问
- 隐私敏感用户：不放心把密码交给任何第三方云
- 自托管爱好者：愿意为掌控感花半小时部署
- 需要管理 API Key、序列号等敏感笔记的人
