开源透明 - 从源码审计到社区信任
为什么开源重要
密码管理器的安全不应依赖于"相信厂商"。一个闭源的密码管理器声称使用 AES-256 加密，你没有办法验证它是否真的在做它说的事情——代码里可能藏着后门、密钥硬编码、或者加密实现有缺陷。
KeePassDX 的整个源码仓库公开在 GitHub 上，任何人都可以查看、编译、审计。这不是营销口号，而是实际发生的事情：安全研究员、密码学家、普通开发者都在持续审查 KeePassDX 的代码。
源码托管与构建
| 项目 | 详情 |
|---|---|
| 源码仓库 | GitHub / Kunzisoft / KeePassDX |
| 主要语言 | Kotlin / Java / C |
| 构建系统 | Gradle |
| F-Droid 构建 | 可重复构建，APK 与源码 tarball 一致 |
| 开源协议 | GPL v3.0 or later |
从 4.5.0 版本开始，F-Droid 仓库的 KeePassDX APK 被标记为可重复构建（reproducible build）——这意味着任何人都可以从源码重新编译出和官方签名完全一致的 APK，证明没有偷偷加后门。
社区安全审计
KeePassDX 没有商业安全团队做持续渗透测试，但它有一个活跃的用户社区在帮它做这件事：
- F-Droid 构建脚本自动化检查所有依赖库的许可证和安全状态
- 翻译贡献者（Weblate 上有 50+ 语言）也会顺便发现 UI 中的安全疏漏
- GitHub Issues 里经常有用户报告边界条件下的异常行为
2024 年，一位安全研究员发现 KeePassDX 在自动填充时没有正确过滤某些恶意应用的表单请求，这个问题在一周内就被修复并发布了补丁版本。这种快速响应能力正是开源项目的优势。
闭源版 vs 开源版
Google Play 上的 KeePassDX Pro 是闭源的（Pro 版包含 Steam TOTP 等高级功能），但 F-Droid 上的 Libre 版是完全开源的。
实际上，核心的密码管理、自动填充、OTP、Passkey 功能都在 Libre 版里，Pro 版只是解锁了少量高级配置项。大多数用户用 Libre 版就够了。
如何验证你用的是真货
- 从 F-Droid 或 GitHub Release 下载 APK，而不是来路不明的镜像站
- 对照 PGP 签名（F-Droid 和 GitHub Release 页面都提供）
- 检查应用包名：免费版是
com.kunzisoft.keepass.free，Libre 版是com.kunzisoft.keepass.libre
如果你特别在意安全，F-Droid 版是首选——它经过 F-Droid 团队的额外安全检查，不包含任何闭源依赖。