账号密码管理助手 - 本地加密密码管理器与自动填充及两步验证

开源免费的本地密码管理器：账号、密码与两步验证（TOTP 2FA）动态码以 AES-256-GCM 加密保存在你的浏览器里，不上传云端、无需注册；自动填充并一键登录，含密码强度检测、安全体检、密码生成器、显隐切换、多环境账号隔离、主流密码管理器迁移导入、中英双语

账号密码管理助手是一款本地优先的开源密码管理器（Manifest V3，GPL-3.0）：账号、密码、网址、备注与两步验证码逐字段 AES-256-GCM 加密，只写入你浏览器的本地存储——不用注册账号，没有云端同步，扩展自身也不设服务器；数据随时导出加密备份带走，也能从其他工具导入搬家。打开登录页时，它自动填充账号与密码、勾选「记住我」，并按你的设置替你点击登录按钮；同一站点在开发、测试、预发、生产的账号默认按精确域名各留各的，不会串号；侧边栏点开即有匹配条目（会话有效时约 20–50ms 拿到数据），整库上限 2000 条。 【🌟 为什么选它】 ⚡ 替你走完登录，而不只是填表格：侧边栏选中条目点「填充并登录」，填充、勾选、提交一步到底 🎯 多环境账号互不串号：条目默认按精确域名命中，开发、测试、预发、生产各留各的凭证——同时跑多环境的人最需要这条 🔑 动态码和密码存在同一处：不用在登录途中去摸手机、切换验证器应用，一个条目里既有密码也有验证码 🆓 免费、开源、无订阅：GPL-3.0 协议，源码可审计，全部功能不设付费墙 【📋 功能全览】 ⚡ 填充与登录 🔌 四种入口：输入框聚焦时出现的钥匙图标、侧边栏、输入框右键菜单、快捷键；登录框位于页面框架内也能填 🧲 填不进的页面有兜底：自建组件把输入框藏起来时，可在管理页「站点规则」为该域名手写账号框与密码框的 CSS 选择器，或点「拾取」在已打开的登录页上直接点选输入框自动生成选择器（只回传选择器，不读取字段值）；每条规则可开关「Shadow DOM 穿透」（默认开启，只作用于开放的影子根）；规则能导出 JSON 分享给团队、按域名合并导入，文件里只有域名与选择器，不含凭据 💾 登录时自动保存：提交时弹窗确认、自动去重，可设域名黑白名单与「不再提示」；同一账号密码改过时自动转「更新」并沿用原有标签与备注，库里已是同一份凭据则不再打扰 ✅ 只勾该勾的那一个：页面有好几个复选框时，按标签文字和它到账号 / 密码框的距离打分，只选中得分最高的那一个，带「订阅 / 推送 / 通知 / 广告 / 营销」字样的降权 🌐 跨子域名三档：默认精确匹配，一个账号确实要覆盖整站子域时，可在管理页头部切成「精确 + 通配条目」或「同主域名」按需放宽 🔌 同域名不同端口各留各的账号：可切到按端口隔离，写了端口的条目只在同端口出现，侧边栏顶部一键即可临时看回其他端口 🏕 本地页一键选环境：localhost 页面点一下芯片即可声明这一页其实是 dev / fat / uat / prod 哪个环境的前端，直接复用那套已存好的账号；绑定只对这个 host + 端口生效，关掉浏览器即清 ⌨️ 键盘走完全流程：侧边栏与页内迷你面板同一套流程，上下键选条目、回车即填、Ctrl+C 复制账号、Esc 收起，面板打开即默认选中首条 🖱 页面悬浮填充按钮：出现在登录页上，可拖拽并自动吸附屏幕边缘，透明度 10%~100% 可调，浮层自带设置面板 📇 分享卡片：一键把「用户名 / 密码 / 网址」合成一段纯文本复制走，方便一次性交给同事或另一台设备 🗂 保管与整理 🔍 智能搜索：同时匹配用户名、标签、备注和网址，认拼音全拼与首字母，命中片段高亮；侧边栏可切「本站 / 全站」范围 🏷 标签与收藏：每条最多 5 个标签，可分类筛选；收藏置顶（默认 10 个、可调 1~50，超出时按最少使用自动让位） 🧰 批量操作：批量删除、批量编辑标签、一键去重 📄 列表分页：每页 50 / 100 / 200 条（默认 100 条），跨页勾选会被保留，搜索与排序作用的仍是全部命中条目 ➕ 就地添加与只读详情：侧边栏顶栏「+」添加当前站点并预填网址；每行「查看详情」以抽屉展示完整备注、活码与修改历史，无需进入编辑态 🕒 工具栏 Popup 是操作中枢：管理页、侧边栏、直接填充、锁定会话都在同一屏，会话剩余时间常驻显示、临期变色，点一下直达有效期设置续期 🔐 两步验证与个人信息库 📱 内置 TOTP：扫描网页二维码或上传图片即可添加密钥，动态码按 RFC 6238 在你设备上生成，不联网、不上传 🧩 参数可自定义：otpauth:// 里的算法认 SHA1 / SHA256 / SHA512、位数认 6 / 7 / 8、周期认自定义秒数，没写的按 6 位 / SHA1 / 30 秒处理；只支持时间型动态码（计数器型 HOTP 不在范围内） 🔗 登录第二步接力：列表与侧边栏同屏显示活码和倒计时环，登录走到第二步时活码就近出现，可一键填入 🪪 个人信息库：姓名、证件号、手机号、邮箱、住址、银行卡信息与自定义字段单独成库，默认掩码，打开是否要求主密码由复验策略决定（默认同一管理页会话内只问一次，可改成每次都问或不再单独问）；库在管理页打开，也可在网页输入框上右键「从个人信息库选择」直接召唤进来，取完值点「回到原网页」回到原来那一格（该右键项只跳转，不读字段内容、不回填页面）；库内自带回收站，删除条目保留 30 天可恢复或彻底删除，逾期自动清理；支持 .aphid 加密备份与勾选导出子集，也可按需导出 / 导入明文 .json（需复验主密码并二次确认风险） 🛡 安全与体检 🩺 离线安全体检：0 到 100 分综合评分，四类问题按受影响条目占比扣分——复用 35、弱密码 25、命中内置近千条常见泄露密码 20、长期未更新 20（再分 90 / 180 / 365 天三档）；未开启两步验证的条目单独列出但不计分；本机保留最近 24 次分数趋势（只存分数与四类计数），能看到与上次相比的变化 📊 密码强度检测：按长度、字母、数字、符号四条规则评为弱 / 中 / 强，添加与编辑时以实时强度条和逐条清单展示，清单另有「不在常见泄露密码列表」一条，命中即判弱；登录保存时按同一口径给出弱密码警示 🛠 密码生成器：随机密码 6~50 位（默认 16），启用的每种字符集至少各出现一次再整体打乱，可排除 0/O、1/l 一类易混淆字符；助记词模式取 3~8 词（内置 3,080 词英文词库）、可追加 1~4 位数字、五种分隔符 🎲 右键即可生成：输入框右键「生成并填充强密码」不读取任何已存凭证，会话锁定时同样可用 ⏰ 密码更换提醒：单个条目可设 7 / 30 / 90 天之后提醒，后台每 12 小时核对一次到期项并发桌面通知，同一条到期只通知一次 👁 密码可见性切换：在页面密码框内加入显示或隐藏按钮（默认关闭，在偏好设置中开启），填充后一眼确认输入内容 ♻️ 回收站与修改历史：删除的条目保留 30 天可恢复，每条密码默认留存 3 份加密历史快照（可调 1~10）以便回滚；回收站按最近删除排在最前，可按用户名 / 网址 / 标签检索；彻底删除时名下快照与到期提醒一并清掉 💾 导入导出与备份 📥 导入与导出：CSV 与 JSON 双格式，可整库导出，也可勾选条目批量导出选中项；自动识别主流密码管理器导出表格的字段（含两步验证密钥列）；UTF-8 读不出时自动改用 GBK 再试一次，兼容中文表格软件导出的文件 🔐 加密备份（.aph）：每次导出都换用新的随机盐与新的初始化向量，两个备份之间不共用密钥材料 📧 邮箱备份提醒：默认走加密备份档，改选不加密时会先做风险二次确认；提醒周期 1 / 3 / 7 / 14 / 30 天 ⚙️ 界面与效率 🎨 6 款色彩主题、中英文界面即时切换，注入页面的浮层同步跟随 ⌨️ 命令面板：管理页按 Ctrl/Cmd+K 唤起，用中文、拼音或首字母检索并直达 30 条常用命令，主密码未验证时不响应按键 🧭 新手引导：第一次进入密码管理页会自动播放聚光式分步引导，逐一带你认路添加、导入、备份、安全设置与体检；看完或中途跳过都不再打扰，头部「帮助 → 新手引导」可随时重播；有密码后还会出现安全起步清单，提示备份与体检（可暂不提醒）；版本升级后弹窗展示一次更新要点，保存的密码多于 1 条、成功用快速填充过一次且首次填充满 7 天后才会询问一次是否去商店评价，可稍后再说或不再提醒，「关于」抽屉里也常驻评价入口；「关于」里可一键复制同事分享文案与商店链接 🔧 四个默认快捷键 Ctrl+Shift+P 管理页 / L 侧边栏 / F 快速填充 / K 内联下拉，改键请到浏览器的「扩展程序快捷键」设置页操作 💡 细节体验：主密码输入框实时提示大写锁定；网站图标取自浏览器本地缓存，不发起外部请求 【🔒 安全架构】 🧬 主密码经 PBKDF2（600,000 次迭代）派生 256-bit 密钥，全部密码学运算走浏览器原生 Web Crypto API；解密密钥与本机存的解锁校验值分两条独立路径派生，校验值推不出密钥，解锁比对为常量时间 🗄 账号、密码、网址、备注和两步验证码五类敏感内容逐字段以 AES-256-GCM 认证加密后才写入本地存储，每次保存都现场生成新的随机初始化向量；个人信息单独成库整块加密；会话过期即回到密文状态 📴 密文只写入浏览器本地存储（持久化的 local 与仅内存的 session），从不使用会随浏览器账号同步的 sync 存储 🔁 修改主密码会检查并重新加密本机五域：密码、密码回收站、密码历史、个人信息与个人信息回收站；密码与回收站解不开即中止换钥（用户明确知情后可选择携带坏记录继续），解不开的历史与个人信息记录原样保留，不静默删记录 离线恢复已启用时，正常改主密码须先保存并回填验证换发的新套件，成功后旧密钥不再适用于当前本机入口；未启用者保留原改密交互 恢复仅持久化包裹的数据钥与非敏感元数据，不保存恢复密钥或其包裹钥；主密码仍不以原文或可逆密文保存。恢复不新增请求、权限或遥测，既有匿名版本检查不变 创建、换发、停用恢复都不是备份；换发或停用不能撤销攻击者已复制的旧密钥 + 旧恢复包/密文，疑泄漏需改主密码轮换数据钥，历史副本无法收回 🧷 登录第二步的接力只把当次验证码和它的有效期交给页面，生成动态码所需的密钥始终留在扩展自己的后台上下文中；这份接力标记只对同一站点有效，三分钟后自动失效 ⏳ 闲置达到设定时长（5 / 10 / 30 / 60 分钟四档）自动锁定，系统锁屏走同一条闲置检测路径；浏览器重启后锁定是另一个独立开关。两者默认都不启用，需要你主动打开；锁定后要重输主密码，而主密码本身从不保存 📋 复制密码后按设定秒数自动清理剪贴板（默认 30 秒，另有 10 / 15 / 60 / 120 秒可选），清理前先比对内容，不会误清你随后复制的内容 🧮 安全体检、密码生成器与泄露密码字典比对全部在设备端完成，不读取网络 【🚀 四步上手】 1. 安装后点击工具栏图标，打开侧边栏 2. 首次使用设置一个主密码（至少 8 位，需同时包含字母、数字和符号），全部数据都以它加密 3. 在登录页让扩展捕捉账号，或到密码管理页手动添加、批量导入 4. 之后在任意登录页用侧边栏、钥匙图标、右键菜单或快捷键完成填充 【👥 适合谁】 💻 开发者：本地、测试、预发、生产域名分开管理，不用再靠备注区分环境 🧪 测试工程师：批量导入用例账号，跨环境切换时一键完成登录，误删可回收，改错的密码能回滚 🔏 隐私敏感用户：会话有效期从 1 小时到 7 天共 9 档，按你愿意多久重输一次主密码来定 🙋 日常登录用户：登录时自动保存新账号，需要新密码时一键生成，不必为每个站点想一套还记得住的记法 📦 正在搬家的人：从其他密码管理器换过来时整库一次导入，不用逐条手动录入 【❓ 常见问题】 🆓 真的完全免费吗？是。没有高级版、没有内购，也不会有劝你升级的弹窗 ☁️ 密码会被上传到云端吗？不会，扩展没有自己的服务器。唯一的主动联网是每 6 小时一次的更新检查：先探测商店可达性（结果本机缓存 24 小时），不通时才去公开发布接口读最新版本号与不超过 200 字的更新说明；请求不携带任何账号、标识符或库内数据，断网时静默失败，其余功能照常可用 🪪 个人信息会被上传或同步吗？不会。它们和密码一样只加密保存在本机，不随浏览器账号同步，也不会离开这台设备 🔑 忘记主密码怎么办？主密码本身不能找回，提示语只是记忆辅助、不是安全提问，可在「安全设置 → 主密码提示语」随时修改或清除。离线恢复默认关闭、没有自动迁移：须提前在「安全设置 → 离线恢复密钥」输入当前主密码（首次设置后的新手引导「留退路」步骤里也可直接打开同一入口），保存并回填验证 .aphrecovery 套件后才启用，也可换发或停用。套件是未加密的明文，只含恢复密钥、套件标识、版本和时间，不含密码库；匹配密钥可在锁屏输入或导入套件，设置新主密码并保存、验证新套件后恢复本机五域；默认任一数据解不开都会阻止恢复，中止后可在明确知情下携带坏记录恢复其余数据。完成后仍锁定，用新主密码解锁 没有可用恢复密钥时，先在忘记向导只读验证 .aph / .aphid，再到另一设备或独立 Profile 导入核对，最后才考虑清除原库，不能先清再试。两种备份仍需导出时的主密码，新恢复密钥不能解开旧备份；导出时与当前若是同一密码且已遗忘，旧备份仍打不开。明文 CSV / JSON 导出也是数据来源；没有可用密钥或可解备份时仍无法恢复，重置清空不可撤销。数据/Profile 丢失只有恢复密钥无用，仍需匹配的数据备份；不能事后给锁死库补恢复 🧭 备份状态一眼可读：管理页头部徽标把两份库的备份欠账合成一枚结论（绿「N 天前已备份」/橙「待备份」「N 天未备份」/红「从未备份」），悬停分别列出 .aph 与 .aphid 各自的状态、点一下直达加密备份导出；刚改过数据而尚未备份时，另出一条本次会话内不再重复的轻提醒。数据管理里还能只读验证 .aph / .aphid 能否解密——不写入、不清空、不显示备份明文；同一窗口内连续 3 次失败会等 30 秒才可再试，判定只在本机进行，不上传任何信息。 📥 能从其他密码管理器导入吗？可以：在原来用的应用里导出 CSV 或 JSON，再到扩展的导入页上传即可 📊 密码库能存多少条？上限 2000 条，回收站里的条目不占额度。达到上限后新增、创建副本、导入、网页自动保存与回收站恢复都会明确提示被拒绝，不会静默覆盖或删除已保存的数据；导入量超出剩余额度时，预览页会先写明还能导入多少条、将被忽略多少条 🔄 更新会改掉我调好的设置吗？不会。新版本调整过的默认值只作用在新安装上，已经在用的安装保持它当前的填充方式 📧 会自动往我邮箱发东西吗？不会。表格只下载到你自己的电脑，扩展自身不具备发信能力，到点只发一条桌面通知 💻 换电脑或重装浏览器后数据还在吗？不会自动跟过去。请在原设备用加密备份导出 .aph 文件，到新设备的导入页还原 ⏱ 会拖慢网页吗？侧边栏的打开速度是本项目长期盯住的调优目标：冷启动、会话失效、浏览器快速重启都按 1 秒内出界面来优化，会话有效时走缓存快路径，数据约 20-50ms 返回；注入页面的浮层用隔离的 Shadow DOM，不改宿主页面样式 🌍 对浏览器版本有要求吗？侧边栏用到 Chromium 114 及以上的 Side Panel API；扩展未声明最低版本，更旧的内核浏览器同样能用管理页、Popup、右键填充与密码生成器，只是没有侧边栏 🛠 填充没生效怎么办？扩展更新或重新加载后，此前已打开的标签页需刷新一次才能收到填充脚本，此时页面内会有提示并发桌面通知；出于安全限制，只有与页面同主域名的框架会被下发凭证 📢 有没有广告、统计或埋点？没有，也不读你的浏览记录。为了能出现在任意登录页上，扩展声明了「访问所有网站」主机权限；其余权限各对应一件具体的事：识别并填充表单、写入与清理剪贴板、读取浏览器本地缓存的网站图标，以及定时执行会话检查、回收站清理与备份提醒 【💡 温馨提示】 本扩展面向开发者、测试人员与日常登录场景设计，建议不要在任何浏览器扩展中存放银行、支付等高敏感凭证。 ✉️ 反馈邮箱：924902324@qq.com 🌐 官网与使用教程：https://liaolongdong.github.io/account-password-helper/ 🐙 开源地址：https://github.com/liaolongdong/account-password-helper