KeePass 从 2003 年做到现在，作者是 Dominik Reichl。它的模型二十年没改过：全部账号塞进一个数据库文件，这堆东西用一条主密钥锁住，人只需要记住那一条。最新的 2.61.1 发布于 2026 年 5 月 1 日，改动清单几乎是清一色的修补。

一个文件，一条主密钥

打开数据库时输一次主密钥，里面的账号、密码、网址、备注就全解开了。整个库是加密的，不只密码字段 —— 用户名、备注、附件都在密文里。加密算法可以选 AES、ChaCha20 或 Twofish，这三种都是公开征集、被反复分析过的老牌算法。

主密钥不是直接拿去当加密密钥用的。各组成部分先用 SHA-256 哈希，再过一个密钥派生函数，AES-KDF 或 Argon2 都行。这一步的作用是拖慢猜解：每次尝试都要付出可调的算力与时间，字典攻击与穷举的成本跟着抬高。运行期间密码在内存里也保持加密，进程被系统转储到磁盘时不会直接露出来。

两条版本线并行

2.x 是主线，用 .NET 写；1.x 是另一条还在维护的老分支，停在 1.43。官网的更新记录排得很密：2.61.1 是 2026 年 5 月 1 日，2.61 是 2026 年 3 月 4 日，2.60 是 2025 年 11 月 2 日，2.59 是 2025 年 7 月 9 日。这种节奏不像大版本冲刺，更像定期把攒下的问题清一遍。

2.61 与 2.61.1 分别动了什么

2.61 偏界面与集成：查找对话框多了「匹配变音符号」的开关，默认关着，也就是搜索默认忽略变音符号；如果开了启动时检查更新，检查会挪到打开数据库之前异步进行，赶上主密钥输入框还开着的时候，用一条横幅提示有新版本。一次性密码生成器修了几处手感 —— 粘贴共享密钥时，按 Base16、Base32 或 Base64 解码的话会自动吃掉空白字符，另加了几个把当前口令复制到剪贴板的按钮。同步相关的改动最多：把当前库同步到文件或网址时，可以一次填多个目标；触发动作新增「出错时静默」与「出错时继续」两个选项；同步末段如果写的是本地文件，写好的数据会直接复制到其余涉及的文件，省掉重新拼一遍的开销。导出时输错主密钥，现在会像打开数据库那样允许重试。

2.61.1 则是一份纯修补清单：修从安全桌面返回后的焦点问题、修「总在最前」选项的初次生效、修 HTML 查看器的初始化、减少打印对话框的闪烁、把「显示空数据」改成默认开启、改善 Unix 系系统上用 XDoTool 做自动输入时按键修饰符的释放速度。基础文件不存在、又要通过网址访问的那类文件事务，也不再报错。

Auto-Type 是它最出名的部分

Auto-Type 干的事很朴素：朝当前窗口模拟按键。默认序列是 {USERNAME}{TAB}{PASSWORD}{ENTER}，先打用户名，按一下 Tab，打密码，回车。名称里带等宽大括号的那几个是占位符，可以自己拼成别的顺序。

每条目都能单独配置：在条目的编辑对话框里设一个默认序列，再按窗口标题配若干组「窗口对应序列」。同一个站点有两个登录页、或者某个页面要先勾一个复选框，就靠这套映射区分。它还有一手叫两通道混淆：把按键拆成两条通道交错发出，让记录键盘的软件拿不到完整序列。程序锁屏、切到安全桌面这类动作，它也会跟着做。

密码生成器与同步

生成器有两种路子：按字符集随机取字符，或者按模式拼。官方推荐前者，后者留给「必须符合某套规则」的场合。规则里可以指定长度、大小写、数字、符号，还能建多套配置档，给不同用途的账号各用一套，新条目也可以指定默认套用哪套。

同步解决的是「同一个库在几台机器上各改了一点」的情况。合并之后，参与同步的两份文件都会写成合并后的最新状态，不是单向覆盖。走本地磁盘、网络共享、FTP、HTTP、WebDAV 这些协议都不需要插件；SCP、SFTP、FTPS 要装一个协议扩展；放在云盘里的库，多数也有现成的对接方式。

关于「不联网」这件事

官方 FAQ 里专门有一问：为什么它会去连网。答案只有一个来源 —— 可选的启动更新检查。开启后，程序下载一个小体积的版本信息文件，跟本机版本比对，有新版本才弹提示。不上传任何个人信息，也不会自动下载或安装更新。首次启动时会问要不要开这项检查，之后在选项的「高级」页随时能关。所以准确的说法是：数据库内容与操作全程留在本地，联网只发生在这一种可以关掉的检查上。

平台、便携与插件

2.x 支持 Windows 7、8、10、11，也能借 Mono 在 Linux、macOS、BSD 上跑；x86、x64、ARM64 三种架构都有原生版本。压缩包形态的便携版解压就能用，设置只写在程序目录里，不往系统别处塞东西，塞在 U 盘里带走是它的常规用法。

它还有一层插件架构，导入导出、数据库备份这类功能大多由扩展补上，官方站点上单独有一栏列着可选插件。许可证是开源且经 OSI 认证的，源码全公开，官网那句话说得直接：可以让任何人去看安全功能有没有被正确实现。

KeePass 的思路一直没变：不托管、不同步到别人的服务器、不替用户保管主密钥。代价是同步要自己操心、忘了主密钥就打不开；换来的是数据库在哪、谁能碰，全由自己决定。