N 因子认证组合 - 主密码 + 密钥文件 + 硬件密钥
因子是什么
在 KeePassDX 的语境里，"因子"（Factor）指的是参与数据库解锁的独立验证条件。每个因子都单独持有数据库加密密钥的一部分：
| 因子类型 | 存储位置 | 需要持有 |
|---|---|---|
| 主密码 | 你的大脑 | 知识（知道） |
| 密钥文件 | 物理文件 | possession（拥有） |
| 硬件密钥 | 物理设备 | possession（拥有） |
生物识别和设备凭证不算独立因子——它们只是"主密码缓存 + 系统级验证"的便捷方式，底层仍然依赖主密码。
因子组合方式
KeePassDX 支持将上述因子自由组合：
| 组合 | 安全强度 | 便利性 | 适用场景 |
|---|---|---|---|
| 仅主密码 | ⭐⭐ | ⭐⭐⭐⭐⭐ | 日常简单使用 |
| 主密码 + 密钥文件 | ⭐⭐⭐⭐ | ⭐⭐⭐ | 推荐组合，平衡安全与便利 |
| 主密码 + 硬件密钥 | ⭐⭐⭐⭐⭐ | ⭐⭐ | 最高安全需求 |
| 仅硬件密钥 | ⭐⭐⭐ | ⭐⭐⭐⭐ | 罕见，硬件故障风险 |
| 主密码 + 密钥文件 + 硬件密钥 | ⭐⭐⭐⭐⭐ | ⭐ | 极高安全需求 |
两因子解锁（主密码 + 密钥文件）
这是最推荐的平衡方案：
- 知识因子：主密码（你知道）
- 拥有因子：密钥文件（你持有）
攻击者需要同时拿到你的主密码和密钥文件才能解锁。这个"同时拿到"的概率比单独拿到任何一个都低得多。
三因子解锁（主密码 + 密钥文件 + 硬件密钥）
最高安全等级，但代价也最大：
- 每次解锁都要输入主密码 + 接入硬件密钥 + 选择密钥文件
- 任何一个因子丢失都能解锁部分安全边界，但完全解锁仍然需要全部三个
- 适合存储极其敏感数据的数据库（如 SSH 密钥、加密货币私钥）
因子丢失的影响
每种因子丢失的后果不同：
| 丢失什么 | 数据库能打开吗 | 补救办法 |
|---|---|---|
| 主密码 | ❌ 永远不能 | 无（无找回功能） |
| 密钥文件 | ❌ 永远不能 | 恢复之前备份的密钥文件副本 |
| 硬件密钥 | ❌ 永远不能 | 需要重新配置（但如果是唯一存储，同样无法恢复） |
核心原则：备份所有因子。主密码写在安全的物理介质上；密钥文件备份到至少两个独立位置；硬件密钥如果丢了，数据库就打不开了——所以硬件密钥必须格外小心保管。
因子 ≠ 网站账户的 2FA
KeePassDX 的"N 因子认证"是数据库解锁层面的，和网站账户的 2FA（两步验证，如 Google Authenticator）是两回事：
- 前者保护的是你的 KeePass 数据库本身
- 后者保护的是你存储在数据库里的外部网站账户
你可以在 KeePassDX 里同时使用两层保护：数据库解锁用主密码+密钥文件，而存储在里面的每个网站账户再各自配置 OTP。