KeePassXC 2.8.0 在 2026 年 10 月 21 日正式发布。对 Linux 用户来说,这次更新的分量比一般的版本号跳跃要重:主程序完成 Qt 5 到 Qt 6 的迁移,Auto-Type 终于通过 XDG Desktop Portal 在 Wayland 下可用,还新增了基于 Polkit 的快速解锁——相当于把 Windows Hello 和 Touch ID 那套免输密码体验补齐到了 Linux。同时这版还带了一批安全修复,其中包括旧版 KDB 导入器的 use-after-free(CVE-2026-69150)和浏览器扩展的条目引用注入漏洞。

如果你一直用着 2.7.x,并且早就受够了「Wayland 下 Auto-Type 根本不工作」,这版就是升级的最好时机。下面讲清楚怎么装、以及装完该检查什么。

KeePassXC 官方品牌图:放大镜中的绿色钥匙图标与笔记本上的密码输入框

图:KeePassXC 官方项目配图,已压暗用于 banner。来源 keepassxc.org。

为什么 2.8.0 不只是版本号变了

2.8.0 稳定版距离 beta1 恰好一个月,而 beta 之前又是几个月 Qt 6 迁移工作的收尾。Qt 6 迁移是这次的结构性变化:主界面跑在 Qt 6 上,命令行工具也削减了对 GUI 库的依赖,构建系统新增了统一的 KPXC_MINIMAL CMake 选项。

对普通用户来说 Qt 6 移植基本无感,但它是这批新功能的底层前提。Wayland Auto-Type 也就才能干净地落在这一版,而不是拖到某个不确定的未来版本。

Wayland Auto-Type:等了多年的功能

Auto-Type 是 KeePassXC 的招牌功能:按一下快捷键,选中条目,程序自动把用户名和密码敲进当前窗口。在 X11 下这功能用了多年,在 Wayland 下却基本是坏的——因为 Wayland 故意不向应用暴露活动窗口标题,也不允许应用往别的应用的输入框里打字。

KeePassXC 2.8.0 用桌面应有的方式解决了这个问题:走 XDG Desktop Portal。Remote Desktop Portal 提供输入模拟,Global Shortcuts Portal 提供全局快捷键。只有当系统上同时存在这两种 portal 的实现时,Auto-Type 才会出现。

官方文档给出的支持现状:

  • KDE Plasma 6.6+——从 5.27 起支持。6.6 之前需要在 系统设置 → 快捷键 → KeePassXC 里重新配置;6.4 之前的版本还有个 bug,每次启动都会弹出配置对话框。
  • GNOME 51+——从 48 起支持。48 到 50 之间需要在 GNOME 设置 → 应用 → KeePassXC 里重新配置。
  • 其他合成器(Sway、labwc、Hyprland 等)——可能需要自行实现提供 Remote Desktop 与 Global Shortcuts 服务的 XDG Desktop Portal。在官方实现出现之前,可以用通用的 Python 方案 xdg-desktop-portal-pyrtal 顶一下。

有几个限制必须先有预期。Wayland 不暴露窗口标题,所以 KeePassXC 无法匹配当前窗口,选择对话框会直接列出所有已解锁数据库里的条目——这让「记住上次使用的条目」变得格外重要。它也不做活动窗口跟踪,一旦输入过程中焦点跑掉,打字会继续敲到新的窗口里而不是被打断。另外 fcitx5、ibus 这类输入法框架可能干扰按键模拟,中文场景下尤其容易出现字符错乱或修饰键卡住。这两点是合成器和输入法的问题,不是 KeePassXC 的 bug,但如果中文自动输入不对劲,应该先怀疑这两处。

基于 Polkit 的快速解锁

快速解锁的思路是把凭据安全地保存下来,之后解锁数据库时不必每次输完整的主密码。Windows 上靠 Windows Hello,macOS 上靠 Touch ID 或 Apple Watch,而 2.8.0 终于给 Linux 加上了 Polkit 这条路。

机制并不复杂:官方打包版本会安装一个名为 org.keepassxc.KeePassXC.unlockDatabase 的 Polkit action,桌面环境的认证代理会弹出授权提示。启用该功能时,KeePassXC 会往数据库的公共元数据里写一个 UUID,并因此把数据库标记为「首次启动后已修改」。

实际前提是有一个在跑的 Polkit 认证代理。主流桌面会话默认都带,所以在 GNOME、KDE Plasma、Xfce 上基本开箱即用。如果你用的是裸合成器,先确认 polkit-agent 进程存在,再下结论说功能坏了。

KeePassXC 数据库解锁对话框:主密码输入框、解锁按钮与已记住的数据库选择

图:解锁对话框。启用快速解锁后,解锁变成一次 Polkit 授权,而不是完整输入主密码。

远程数据库同步与安全修复

2.8.0 新增了用外部程序把本地数据库与另一台机器上的副本同步的能力,也可以直接导入远程数据库。这是 KeePassXC 第一次能对接第三方同步后端,而不再需要你自己去挂载云盘目录。SSH Agent 也有长进:现在可以直接在 KeePassXC 里生成 RSA、ECDSA 和 Ed25519 密钥,Proton Pass 导入器则增加了对 Wi-Fi 凭据、SSH 密钥和未知条目类型的支持。

安全方面,项目说得很直白:所有 2.7.x 及更早版本都受影响,这些 CVE 评级为低到中等,没有一条涉及 KeePassXC 的核心密码学。但清单还是值得逐条看:

涉及范围 修复内容
构造的 KDB 导入 导入构造的 KDB 文件时的 use-after-free(CVE-2026-69150)
浏览器扩展 通过扩展创建或更新条目时的条目引用注入
浏览器原生消息 加密解密原生消息时的越界写入
Windows Pageant 向 Pageant 发送 SSH 密钥时随机化共享内存映射名
旧版 KDB 导入器 整数溢出与越界读取

后两项由 NATO Cyber Security Centre 报告。GitHub 在请求一个多月后仍未给大部分条目分配 CVE 编号,自己排期安全公告时这点值得留意。

除了编号 CVE,还有一些实打实的加固:Secret Service 集成现在会把受保护属性从属性列表中排除,zlib 内存中的解密片段清理得更彻底,Secret Service 的几处崩溃也修掉了。

在 Linux 上安装 2.8.0

官方下载页把 Flatpak 列为推荐方式,此外还有 AppImage、Snap、Ubuntu PPA 和各发行版软件包。

Flatpak(推荐)

Bash
flatpak remote-add --user --if-not-exists flathub https://dl.flathub.org/repo/flathub.flatpakrepo
flatpak install --user flathub org.keepassxc.KeePassXC

已经用 Flatpak 装过的,直接 flatpak update org.keepassxc.KeePassXC 即可。2.8.0 还改进了 AppImage 的 TLS 处理,下载 favicon、检查更新时的报错会少很多。

Ubuntu PPA

想要常规 .deb 包的话,团队自己的 PPA 已经为 Ubuntu 22.04、24.04、26.04 和 26.10 提供了 2.8.0:

Bash
sudo add-apt-repository ppa:phoerious/keepassxc
sudo apt update
sudo apt install keepassxc

Ubuntu 官方仓库目前仍在 2.7.x 系列,想上新就得走 PPA。

Snap 与 AppImage

Bash
sudo snap install keepassxc

官方 Snap 由团队自己维护,不过他们认为 Flatpak 才是首选。AppImage 提供 x86-64 版本,2.8.0 还新增了 实验性的 AArch64 AppImage,面向 ARM 架构 Linux 设备;同一版本也是第一次为 Windows 提供原生 ARM64 构建。

各发行版软件包

主流发行版都有包:Debian/Ubuntu 用 sudo apt install keepassxc,Fedora 用 sudo dnf install keepassxc(RHEL 与 CentOS Stream 需要先启用 EPEL),Arch 用 sudo pacman -S keepassxc,openSUSE 用 sudo zypper install keepassxc,Alpine 用 doas apk add keepassxc,Gentoo 用 sudo emerge app-admin/keepassxc。注意这些版本会落后于 2.8.0,要等发行版自己重新构建。

KeePassXC 新建数据库向导:设置数据库名称、默认保存位置与加密选项

图:新建数据库向导。可以创建第一个数据库,也可以从已有数据导入。

导入现有密码与主界面

从别的密码管理器迁移,通过导入向导即可。2.8.0 专门改进了「界面语言非英文时,CSV 英文表头自动列映射」这一项——一个小修复,但对非英文用户省下了大量手工选列的功夫。

KeePassXC CSV 导入向导:显示表格列与 KeePassXC 条目字段的映射关系

图:CSV 导入的自动列映射。浏览器扩展、Proton Pass 导入器和 CSV 向导最终都写进同一种数据库格式。

数据库视图是你日常待得最久的界面,2.8.0 在数据库统计里加入了 passkey 和 TOTP 条目计数,GUI 和命令行都有。它还修好了密码字号跟随应用字号的 bug——以前改桌面缩放后密码字体常常对不上,这个细节在你真去调文字大小时才会发现有多烦。

KeePassXC Linux 主界面:左侧分组树、右侧条目列表(标题/用户名/网址/备注)与下方密码强度条详情面板

图:Linux 上的 KeePassXC 数据库视图。左边分组,右边条目,下方详情与强度条。

另外快捷键现在可以自定义,Clone Entry 改到了 Ctrl+D。如果你有旧版 KeePassXC 的肌肉记忆,建议花两分钟到 工具 → 首选项 → 快捷键 里把常用的重新绑定一遍。

升级后要检查的几件事

一份简短的迁移清单:

  1. 浏览器扩展一起升。 2.8.0 的修复涉及浏览器原生消息和条目引用注入,扩展版本不匹配是最可能的新故障来源。
  2. 重新绑定 Auto-Type 快捷键。 全局快捷键现在走 Global Shortcuts Portal,行为可能和旧的 X11 抓键不同。
  3. 在 Wayland 下重新启用 Auto-Type。 确认合成器提供了 Remote Desktop 和 Global Shortcuts 两个 portal;如果入口是灰的,说明缺 portal。
  4. 试一下快速解锁。 在 应用设置 → 安全 里启用,确认 Polkit 代理会弹授权框。
  5. 首次启动前先备份数据库。 快速解锁的初始化会往数据库公共元数据写 UUID,并把数据库标记为已修改。

结论

KeePassXC 2.8.0 就是一个大版本该有的样子:底层工具链现代化,Linux 用户惦记多年的两个功能(Wayland Auto-Type 和免密解锁)真的进了稳定通道,一批安全修复值得立刻升级,原生 ARM64 构建开始抹平与 Windows 的差距。

唯一要强调的:桌面程序和浏览器扩展要一起升级;如果用的是非主流合成器,先把用户指南里 Wayland portal 那一节读完,再把真正的密码库搬过去。

官网与完整发布说明:https://keepassxc.org/ ——2.8.0 的公告在 https://keepassxc.org/blog/2026-10-21-2.8.0-released,完整 changelog 在 GitHub 发布页。

最后修改： 2026年10月28日

作者

评论

发表评论

您的邮箱地址不会被公开。