本项目是个人/学习向的本地密码管理器，未经专业安全审计。 请勿用它保管唯一副本的关键凭据；重要账号请同时保留离线备份。
| 项目 | 取值 |
|---|---|
| 文件格式 | v3（当前写入）/ v2、v1（仅兼容读取） |
| 加密算法 | AES-256-GCM（AEAD） |
| 密钥派生 | PBKDF2-HMAC-SHA256，600,000 次迭代 |
| 盐 / nonce | 每次加密随机生成，随密文保存 |
| 完整性 | GCM tag 覆盖 magic、版本、迭代数、盐、nonce 与密文 |
| 密码存储 | 显式存储于加密库内；运行时内存为明文，落盘前整体经 AEAD 加密 |
请不要开公开 Issue。请通过 GitHub 的 Private vulnerability reporting， 或邮件联系维护者，说明复现步骤与影响。我们会在确认后尽快修复并在 CHANGELOG 中记录。
- 解锁密码（密钥）强度依赖用户；丢失后无法恢复数据。
- 剪贴板中的密码在 30 秒后自动清空，但此期间其他程序仍可读取。
- Windows 上未对 exe 做代码签名。