与 1Password、KeePass 对比

三种截然不同的路线

密码管理器市场里有三种典型路线，代表三种不同的信任模型。1Password 是托管商业服务，你付钱，公司替你保管密码；KeePass 是本地单文件工具，密码库就存在你自己的硬盘里；Bitwarden 介于两者之间，有官方云服务，也允许自建服务端。

Vaultwarden 属于 Bitwarden 路线的自建分支。理解这三种路线的差异，你才能确定自己到底适合哪一种，而不是跟风选择。选型这种事没有绝对的最优解，只有和自己需求、动手能力、预算最匹配的解。

1Password：省心但有代价

1Password 的体验确实是行业标杆。界面精致、平台覆盖全、浏览器插件集成度高，还有旅行模式、密保问答管理等特色功能。你付的是订阅费，买的是专业团队的维护、客服支持和全方位的体验打磨。对不想在工具上花任何心智的人来说，这笔钱是值的。

代价是密码不在你手里。它采用端端加密，安全性设计在行业里属于上乘，但架构上你依然信任一家公司：相信它不被入侵、不擅自改条款、不哪天停止服务。另一个现实因素是长期成本：订阅费每年都在交，十年累积下来足够配好几台 home server。这不是说它贵，而是要想清楚自己买的是什么。

1Password 还有一个特点不得不提：它只有托管模式，官方并不提供自建选项。这意味着你对数据存放位置、服务可用性几乎没有控制权，公司某次服务器故障会直接变成你全家人的故障。相比之下 Bitwarden 体系把选择权留给了你：用官方云或者自建，同一个客户端两种活法。这也是为什么本书的选型讨论里 1Password 代表「完全托管」这一极。

简单的判断标准：如果你的全部需求是个人使用，完全不愿意花任何时间维护，且能接受持续付费，1Password 是合理选择。但既然你打开了这本书，说明你多少愿意自己动手，那情况就不一样了。

顺带一提，1Password 在国内网络环境下的访问稳定性也需要考虑。密码同步是高频操作，客户端连接不上服务器时体验会打折扣，这一点对云端方案是共性问题。

KeePass：自由但需要自己搭同步

KeePass 是开源本地密码管理器的老前辈，密码库是一个加密文件，你可以随便复制到哪里。它的设计哲学是绝不联网，所有同步都靠你自己手动完成。这种极致的离线基因吸引了一批非常硬核的用户。

优点是极致的掌控感：文件在你手里，想放哪放哪，不依赖任何在线服务，没有账号注册，没有服务器需要维护。配合网盘或同步盘甚至能实现跨设备同步，体验接近云端方案。

痛点也恰恰在此。同步要自己解决，手机上想要自动同步需要研究各种第三方插件与桥接工具；浏览器自动填充不在原生功能范围内，得另外装扩展；多用户共享几乎没有现成方案。它更像是一套积木，能不能用好取决于你投入多少时间。很多从《软路由指南》入门自建的玩家最后都从 KeePass 迁移过来，正是因为受够了手动同步——每次换设备都要倒腾一遍密码库，渐渐地就不想再打开它。

典型场景是这样的：在公司电脑上更新了路由器密码，回家想登录手机上的客户端却发现同步没配好，只能等回家再手动同步一次。久而久之密码库分岔出好几个版本，哪个是最新的全凭记忆。体验上的磨损最终会变成安全上的隐患——人会本能地回避麻烦的工具，然后重新回到简单密码的老路上。

## Vaultwarden 自建：中间路线

Vaultwarden 的位置很有意思。它兼具云端方案和本地方案的优点，代价是你需要维护一台服务器：

• 客户端体验与官方一致，同步全自动，打开手机就能用；
• 数据存放在你自己的服务器上，不经第三方之手；
• 不需要为每个设备单独解决同步问题，服务端一处同步处处可用；
• 家庭共享、紧急联系人这类多用户功能开箱即用。

中间路线的精髓在于：你只维护一个服务端，换来的是接近托管方案的使用体验，同时保留本地方案的数据控制权。家人装上官方客户端就能正常用，完全感受不到背后的自建复杂性。

再补一张分量对照表，帮你按自己的优先级快速权衡：

这张表的使用方式很简单：先在第一列里圈出你最在意的那一项，再看它指向哪个方案。如果你发现自己两项都想圈，就说明需求有冲突，需要排个优先级——通常排完之后答案自己就出来了。

顺带说明一个常被问到的细节：Bitwarden 官方云和 Vaultwarden 在功能体验上几乎一致，区别只在数据存放在谁的服务器上。官方云可以理解成「帮你跑 Vaultwarden 的商业版本」，自建则是把这份工作收回来自己做。所以从官方云迁移到自建的门槛很低，客户端都不用换，改个服务器地址即可，密码库导入导出是标准功能。

价格上的对比也可以再细化一点。1Password 个人版每年要花一笔订阅费，家庭套餐更贵；Bitwarden 官方云的高级会员便宜得多，但文件附件等高级功能需要订阅；Vaultwarden 则是把这些高级功能一并免费提供。这也是为什么自建方案在小家庭场景下性价比格外突出。

如果你开始算这笔账，说明自建已经在你的候选名单里了。继续算下去：电费每月一两块钱、域名每年几十块、家庭宽带一般不需要额外升级。这些投入换来的是全家人完整的密码管理能力，而且是十年以上的长期收益。相比之下托管的订阅费是纯支出，不会沉淀成任何属于你的东西。

从决策角度，这本书的建议可以浓缩成一句话：先想清楚「家里有没有常开机器」，再决定要不要往下走。这个前提条件比任何功能对比都关键，它决定了自建这条路对你是一条坦途还是一个坑。功能差异总可以弥补，前提条件却只能靠硬件和习惯来满足。

怎么选

给出具体建议。如果你完全没有自建经验，先从 1Password 或 Bitwarden 官方云开始，花一两个月习惯密码管理器的工作方式。这样即使后来放弃，也清楚了密码管理器到底好在哪里。

如果你已经有 NAS、软路由或其他常开服务器，直接上 Vaultwarden，边际成本足够低——反正机器开着也是开着。如果你是极致隐私主义者，连加密流量都不想经过任何第三方服务器，KeePass 依然是最纯粹的选择。如果你既要控制权又想要现代体验，Vaultwarden 是目前最平衡的答案。

迁移不是一次性决定，多数自建玩家的路径是循序渐进的：从浏览器记密码起步，受不了生态锁定后换云端服务，最后因为掌控欲或成本转向自建。允许自己分阶段切换，每一步都不是白走。但无论用哪一种，都强过把密码继续交给浏览器——这是整本书最想传达的一句话。工具会换，对密码的尊重该留住。选型表只是一张地图，真正上路之后你会发现，适合自己的方案往往不是选出来的，而是随着家里基础设施一点点长出来的。

延伸阅读

• NAS DIY 指南：自建方案跑在低功耗常开主机上
• Synology DSM 指南：群晖用户可以直接用容器套件部署 Vaultwarden