账号密码管理助手 - 本地加密密码管理器与自动填充及两步验证

开源免费的本地密码管理器：账号、密码与两步验证（TOTP 2FA）动态码以 AES-256-GCM 加密保存在你的浏览器里，不上传云端、无需注册；自动填充并一键登录，含密码强度检测、安全体检、密码生成器、显隐切换、多环境账号隔离、主流密码管理器迁移导入、中英双语

账号密码管理助手是一款本地优先的密码管理器：账号、密码和两步验证码加密保存在你自己的浏览器里，不需要注册账号，也没有云端同步。打开登录页时，它可以自动填充账号和密码、勾选「记住我」，并按你的设置自动点击登录按钮。 【为什么选择它】 ◆ 不只填充，还替你完成登录：在侧边栏选中条目点「填充并登录」即可一步走完填充、勾选与提交；快捷键 Ctrl+Shift+F 默认只做填充与勾选，只有你在偏好设置中开启「自动触发登录」后它才代为提交表单，不会背着你按下登录 ◆ 多环境账号隔离：条目默认按精确域名匹配，开发、测试、预发、生产各留各的凭证——同时跑多环境的人最需要这条；一个账号确实要覆盖整站子域时，可在管理页头部切成「精确 + 通配条目」或「同主域名」两档按需放宽 ◆ 验证码和密码存在同一处：不用在登录途中去摸手机、切换验证器应用——一个条目里既有密码也有动态码 ◆ 免费、开源、无订阅：GPL-3.0 协议，源码可审计，全部功能不设付费墙 【适合谁】 · 开发者：本地、测试、预发、生产域名分开管理，凭据默认按站点精确命中，不用再靠备注区分环境 · 测试工程师：批量导入用例账号，跨环境切换时一键完成登录，误删可回收，改错的密码能回滚 · 隐私敏感用户：会话有效期从 1 小时到 7 天共 9 档，按你愿意多久重输一次主密码来定 · 日常登录用户：登录时自动保存新账号，需要新密码时一键生成，不必再为每个站点想一套还记得住的记法 · 正在搬家的人：从其他密码管理器换过来时整库一次导入，不用逐条手动录入 【怎么使用】 1. 安装后点击工具栏图标，打开侧边栏 2. 首次使用设置一个主密码（至少 8 位，需同时包含字母、数字和符号），全部数据都以它加密 3. 在登录页让扩展捕捉账号，或到密码管理页手动添加、批量导入 4. 之后在任意登录页用侧边栏、输入框钥匙图标、右键菜单或快捷键完成填充 【安全架构】 · 主密码经 PBKDF2（600,000 次迭代）派生 256-bit 密钥，全部密码学运算使用浏览器原生 Web Crypto API · 派生解密密钥与派生解锁校验值走两条相互独立的路径（校验值派生前对盐值做了域分离），存在本机的校验值推不出解密密钥；解锁时的比对是常量时间比较，不会因为逐个字符比对而提前返回 · 账号、密码、网址、备注和两步验证码五类敏感内容分别以 AES-256-GCM 认证加密后才写入本地存储，每个字段、每次保存都现场生成新的随机初始化向量，因此同一条密码两次加密得到的密文并不相同；会话过期即回到密文状态 · 密文只写入浏览器本地存储（持久化的 local 与仅内存的 session），不使用会随浏览器账号同步的 sync 存储，数据不会因为你登录了浏览器账号而离开这台设备 · 更改主密码时对全部条目原子重加密：要么整体完成，要么保持原状，不会留下半加密的数据 · 加密备份文件（.aph）每次导出都换用新的随机盐与新的初始化向量，两个备份之间不共用密钥材料 · 身份信息（姓名、证件号、手机号、邮箱、住址、银行卡信息与自定义字段）单独成库，整块以 AES-256-GCM 认证加密后写入本地存储，默认掩码显示，查看与复制都需再次验证主密码 · 登录第二步的动态码接力只把当次验证码和它的有效期交给页面，生成验证码所需的密钥始终留在扩展自己的后台上下文中；这份接力标记只对同一站点有效，三分钟后自动失效 · 闲置达到设定时长（5 / 10 / 30 / 60 分钟四档）时自动锁定，系统锁屏走同一条闲置检测路径；浏览器重启后锁定是另一个独立开关。两者默认都不启用，需要你主动打开——锁定后要重新输入主密码，而主密码本身不会被保存，遗忘后无法找回 · 复制密码后按设定的秒数自动清理剪贴板（默认 30 秒，另有 10 / 15 / 60 / 120 秒可选），清理前会先比对内容，不会误清你随后复制的内容；万一页面失去焦点读不到剪贴板，就直接覆写——宁可误清一次，也不把密码留在剪贴板上 · 安全体检、密码生成器与泄露密码字典比对全部在设备端完成，不读取网络 【功能全览】 · 四种填充入口：输入框获得焦点后出现的钥匙图标、侧边栏、输入框右键菜单、快捷键；登录框位于页面框架内时同样可以填充 · 填不进的页面有兜底：登录框渲染在自定义组件里、自动检测取不到输入框时，可在管理页「站点规则」为该域名手写账号框与密码框的 CSS 选择器（规则域名需与登录页域名完全一致，不支持通配）；每条规则自带「Shadow DOM 穿透」开关，默认开启、只作用于开放的影子根（封闭的影子根任何扩展都读不到），关掉则只在主文档内匹配。规则可导出为 JSON 文件备份或分享给团队，导入时按域名合并并回报新增、更新与忽略的条数，上限 500 条规则、单文件 2 MiB——文件里只有域名与选择器，不含账号与密码 · 登录时自动保存密码：提交登录时弹窗确认，自动去重，可设置域名黑白名单与「不再提示」；密码偏弱或已被多个账号使用时，会在同一弹窗中提醒；同一账号再次登录而密码已经改过时，弹窗自动转为「更新」并沿用这条记录原有的标签与备注，库里本来就是同一份凭据时则完全不再打扰 · 只勾该勾的那一个复选框：页面上往往有好几个复选框，它按标签文字和复选框到账号/密码框的距离打分，只选中得分最高的那一个，标签里带「订阅 / 推送 / 通知 / 广告 / 营销」字样的会被降权 · 密码安全体检：给出 0 到 100 分的综合评分，四类问题按受影响条目占比扣分——密码复用 35、弱密码 25、命中内置近千条常见泄露密码 20、长期未更新 20，其中长期未更新再按 90 / 180 / 365 天分三档；未开启两步验证的条目会单独列出来，但不计入扣分 · 密码生成器：随机密码长度 6~50 位可选（默认 16 位），启用的每种字符集保证至少各出现一次再整体打乱，并可排除 0/O、1/l 一类易混淆字符；助记词模式取 3~8 个单词（词库是内置的 3,080 个英文单词），可追加 1~4 位数字，分隔符有五种选择、也可以不加；也能在输入框右键直接「生成并填充强密码」，这一步不读取任何已存凭证，会话锁定时同样可用 · 密码强度检测：按长度、字母、数字、符号四条规则评为弱 / 中 / 强，在添加、编辑和登录保存时同步给出 · 密码可见性切换：在页面密码框内加入显示或隐藏按钮（默认关闭，在偏好设置中开启），填充后一眼确认输入内容 · 两步验证（TOTP 2FA）：扫描网页二维码或上传图片即可添加密钥，动态码按 RFC 6238 在你设备上生成，不联网、不上传；标准 otpauth:// 链接里带的参数会被读出来——算法认 SHA1 / SHA256 / SHA512，位数认 6 / 7 / 8，周期认自定义秒数，链接里没写的按 6 位 / SHA1 / 30 秒处理，只支持按时间滚动的动态码（计数器型 HOTP 不在范围内）；列表与侧边栏同屏显示活码和倒计时环，登录走到第二步时活码就近出现，可一键填入 · 密码更换提醒：单个条目可设 7 / 30 / 90 天之后提醒，后台每 12 小时核对一次到期项并发桌面通知，同一条到期只会通知一次 · 导入与导出：支持 CSV 和 JSON，可整库导出，也可勾选条目批量导出选中项；自动识别主流密码管理器导出表格的字段（含两步验证密钥列）；CSV 按 UTF-8 读不出内容时会自动改用 GBK 再试一次，兼容中文表格软件导出的文件；另有 .aph 加密备份与邮箱备份提醒 · 回收站与修改历史：删除的条目进回收站保留 30 天可恢复，每条密码默认留存 3 份加密历史快照（可调 1~10 份）以便回滚；在回收站里彻底删除某条时，它名下的历史快照与到期提醒会一并清掉；回收站列表按最近删除排在最前，还能按用户名 / 网址 / 标签关键词检索 · 侧边栏快速添加与只读详情：顶栏「+」就地添加当前站点并预填网址，主密码输入框实时提示大写锁定；每行「查看详情」以抽屉展示完整备注、活码与修改历史，无需进入编辑态 · 页面悬浮填充按钮：出现在登录页上，可拖到任意位置并自动吸附屏幕边缘，透明度 10%~100% 可调；浮层自带设置面板，不用切回管理页就能就地调整 · 键盘完成全流程：侧边栏内上下键选条目、回车填充、Ctrl+C 复制账号、Esc 收起，手不离键盘也能登录；页内迷你面板同一套键盘流程，打开即默认选中首条、回车即填 · 工具栏 Popup 操作中枢：管理页、侧边栏、直接填充、锁定会话都在同一屏，剩余有效时间常驻显示并在临近过期时变色提醒 · 智能搜索与整理：模糊搜索同时匹配用户名、标签、备注和网址，认拼音全拼与首字母，命中片段高亮显示；另有侧边栏「本站 / 全站」范围切换、每条最多 3 个标签的分类与筛选、收藏置顶（上限默认 10 个、可调 1~50，超出时按最少使用自动让位）、一键去重、批量管理；管理页列表按页呈现（每页 50 / 100 / 200 条、默认 100 条），搜索、排序与导出作用的仍是全部命中条目，跨页勾选也会被保留 · 身份信息库：独立的个人信息收藏夹，存放姓名、证件号、手机号、邮箱、住址、银行卡信息与自定义字段，默认掩码、查看需主密码复验；支持加密备份（.aphid）导出导入与勾选导出子集，并可按需导出/导入未加密的明文 .json（需主密码复验与风险确认，导入按 id 合并）；不参与自动备份，请定期手动导出加密备份 · 界面与快捷键：6 款色彩主题、中英文界面即时切换；四个默认按键为 Ctrl+Shift+P 管理页 / L 侧边栏 / F 快速填充 / K 内联下拉，改键请到浏览器的「扩展程序快捷键」设置页操作；管理页另有 Ctrl/Cmd+K 唤起的命令面板，用中文、拼音或首字母检索并直达 23 条常用命令，主密码未验证时不响应按键 【常见问题】 · 真的完全免费吗？是。没有高级版、没有内购，也不会有劝你升级的弹窗 · 密码会被上传到云端吗？不会。扩展没有自己的服务器。唯一主动发起的联网是每 6 小时一次的更新检查：先向商店探测一次网络可达性（结果在本机缓存 24 小时），探测不到时才去公开的发布接口读取最新版本号与不超过 200 字的更新说明；这两类请求都不携带任何账号、标识符或库内数据，断网时检查静默失败，其余功能照常可用 · 身份信息（证件号、银行卡号等）会被上传或同步吗？不会。它们和密码一样只加密保存在本机，不随浏览器账号同步，也不会离开这台设备 · 忘记主密码怎么办？找不回来，也没有任何人能替你把它还原成可读的形式。应用内确实有一个「重置」入口，但它做的是清空全部数据、把扩展恢复到刚装好的样子，旧密码不会因此出现。请定期用加密备份导出，别让一次遗忘赔上整个库 · 能从其他密码管理器导入吗？可以：在原来用的应用里导出 CSV 或 JSON，再到扩展的导入页上传即可 · 密码库能存多少条？上限 2000 条，按列表条目数计数，回收站里的条目不占额度。达到上限后新增、创建副本、导入、网页自动保存与回收站恢复都会明确提示被拒绝，不会静默覆盖或删除已经保存的数据；导入量超出剩余额度时，预览页会先写明还能导入多少条、将被忽略多少条，由你选择只导入前若干条或取消 · 更新到新版本会改掉我调好的设置吗？不会。新版本调整过的默认值只作用在新安装上，已经在用的安装会冻结住它当前的填充方式，不会被静默改动 · 会自动往我的邮箱发东西吗？不会。所谓邮箱备份只是把表格下载到你自己这台电脑，然后唤起你已装好的邮件客户端、由你决定发不发；扩展自身不发邮件，也不具备发邮件的能力。备份提醒的周期可设 1 / 3 / 7 / 14 / 30 天，到点只发一条桌面通知 · 换电脑或重装浏览器后数据还在吗？不会自动跟过去。请在原设备用加密备份导出 .aph 文件，到新设备的导入页还原 · 会拖慢网页或加载页面吗？侧边栏的打开速度是本项目长期盯住的调优目标：冷启动、会话失效、浏览器快速重启等场景都按 1 秒内出界面来优化，会话有效时走缓存快路径，数据在约 20-50ms 内返回；注入页面的浮层使用隔离的 Shadow DOM，不改变宿主页面样式 · 对浏览器版本有要求吗？侧边栏用到 Chromium 114 及以上的 Side Panel API；扩展没有声明最低版本限制，因此更旧的内核浏览器同样能安装使用管理页、Popup、右键填充与密码生成器，只是没有侧边栏 · 填充没生效怎么办？扩展更新或重新加载后，此前已打开的标签页需要刷新一次才能收到填充脚本，这种情况下页面内会有提示、同时发出桌面通知；出于安全限制，只有与页面同主域名的框架会被下发凭证 · 有没有广告、统计或埋点？没有，也不读你的浏览记录。为了让它能出现在你打开的任意登录页上，扩展声明了「访问所有网站」这一项主机权限；其余权限各自只对应一件具体的事：识别并填充表单、写入与清理剪贴板、读取浏览器本地缓存的网站图标，以及定时执行会话检查、回收站清理与备份提醒 【温馨提示】 本扩展面向开发者、测试人员与日常登录场景设计，建议不要在任何浏览器扩展中存放银行、支付等高敏感凭证。 反馈邮箱：924902324@qq.com 官网与使用教程：https://liaolongdong.github.io/account-password-helper/ 开源地址：https://github.com/liaolongdong/account-password-helper