超过 10 年网龄的我，注册过很多网站帐号，而出于安全方面的考量（避免脱库），每个网站的密码都用不同的复杂的随机密码，这时候一个密码管理器就显得十分有必要，我使用的是 LastPass 免费版，至今已经用了 8 年有余（特意查了下 Item 的最早记录）。
不过最近几年，听到 LastPass 有安全泄露问题的消息越来越多，对于一个软件开发从业者来说，密码的安全是我非常关注的。
可没想到的是，安全带来的代价，却让我最终放弃 LastPass ，可能你无法相信，但事实确实如此。
不知何时开始的，LastPass 经常定期会要求已经授权的设备进行重新授权（事后才知晓的）。
这听起来是一件好事，但给我带来了非常糟糕的使用体验。
有一次印象非常深刻，也是第一次出现这种问题，当时我以为是使用时间太久，输入主密码就可以重新登陆使用，但是那次无论我用密码登陆多少次，都提示我去邮箱重新授权，但死活在 163 邮箱里收不到邮件，我非常的害怕，害怕我这么多年的保险箱就这么没了。这种状态给了我非常大的打击，我非常懊恼当时为什么选择它，也非常纳闷为什么一个产品会越来越用？
直到一次偶然的机会，我登陆了我多年未使用的 QQ ，发现在 QQ 邮箱里有 LastPass 的邮件，原来 LastPass 把邮件发到了这里，但是为什么呢？难道以前设置过安全邮箱？可是过后我在 LastPass 的官网里好像找不到相关的设置（或许是我没有找到）。
重新授权登陆后，由于工作忙，我没有继续跟进这件事了，也没有进行复盘，怎么会遇到这种事情，下次遇到这种事情该如何处理。
以至于到昨天晚上，我需要登陆一些帐号， LastPass 又在关键时刻，罢工了。
是的，它又提示我要重新授权才能使用，可问题是163 邮箱无论如何也收不到授权邮件。由于时间过了太久，不记得之前是发到 QQ 邮箱里去了，我开始又陷入了深深的自责，吃一垫为什么不长智？
幸运的是，由于近期做一些项目，手机上有下载 QQ，经常要登陆 QQ，看到邮箱里的消息，才又回想起之前的种种。
如果不是两次偶然的机会，让我有机会在 QQ 邮箱里看到授权邮件，恐怕我积累多年的 200 百多个密码，就全部丢失了，要知道密码数据对我来说有多么的重要，因为不是所有的帐号都能使用手机重设密码的。
经历了两次生与死的挣扎，害怕这种事情再次发生在自己的身上，于是我开始寻找市面上其他的解决方案，准备迁移数据到其他更好用的工具上。
在开始之前，先梳理了下自己的需求：
综合考量之下，选定了 Bitwarden 这款工具，相对于LastPass的优势，Bitwarden有如下几个优势：
说干就干，从晚上 11 点开始查看文档，开始部署 Bitwarden，遇到了一些小问题，整到了凌晨一点，终于自己部署了下，以下是自己的部署过程，给有需要的朋友们可以做个参考
Bitwarden是一个强大的密码管理工具，它有着丰富的功能和强大的加密保护机制，同时也有易于使用的界面和跨平台支持。
在搜索 Bitwarden 的使用时，还会经常看到 Vaultwarden 和 bitwarden_rs ，它们与 Bitwarden 是什么关系呢？
Bitwarden
Vaultwarden
对比之下，Vaultwarden 优势非常的明显，建议大家和我一样，无脑使用 VaultWarden即可。
部署 Bitwarden 的方法有很多，使用 docker 是最方便的，一条命令即可
“`shell
docker run -d –name vaultwarden \
–restart=always \
-e WEBSOCKET_ENABLED=true \
-e SIGNUPS_ALLOWED=true \
-e DOMAIN=https://vault.youdomain.com \
-e ADMIN_TOKEN=<you_master_password> \
-v /data/bitwarden/:/data/ \
-p 8080:80 \
-p 3012:3012 \
vaultwarden/server:latest
<pre><code class="">上面用到的参数有
“`shell
# 启用或禁用新用户注册：true启用，false禁用
SIGNUPS_ALLOWED=false
# 设置web访问域名,必须使用 https
DOMAIN=https://vault.yourdomain.com
# 是否启用WebSocket通知：true启用，false禁用
WEBSOCKET_ENABLED=true
# 启用管理后台并设置token，默认为空不启用，设置token后则启用
ADMIN_TOKEN=XXXXXXXXXXXX
还有更多的参数，可根据自己的需要进行设置
# 设置日志路径
LOG_FILE=data/access.log
# 日志级别选项：trace、debug、info、warn、error 以及 off
LOG_LEVEL=warn
EXTENDED_LOGGING=true
# 设置SQLites数据库存储路径及数据库名
DATABASE_URL=data/vaultwarden.db
# 是否启用web客户端：true启用，false禁用
WEB_VAULT_ENABLED=true
# 修改线程，默认为10，若用户多可修改为更大，一般默认不需要设置
ROCKET_WORKERS=20
# 显示密码提示：true启用，false禁用
SHOW_PASSWORD_HINT=false
# 设置SMTP
SMTP_HOST=smtp.test.com
SMTP_FROM=test@test.com
SMTP_PORT=465
SMTP_USERNAME=test@test.com
SMTP_PASSWORD=password
# 自v1.25.0起，不再设置SMTP_SSL和SMTP_EXPLICIT_TLS，使用SMTP_SECURITY替代，它有以下选项：starttls、force_tls和off。
# 465端口使用force_tls，587端口使用starttls，25端口使用off。
SMTP_SECURITY=force_tls
# 启用或禁用邀请：true启用，false禁用
INVITATIONS_ALLOWED=false
# 启用或禁用分享发送功能，默认开启，启用true，禁用false
SENDS_ALLOWED=false
后端的 Bitwarden 服务已经成功运行，前端如何访问呢？
有两种方法：
https://{ip}:{password} 访问 webhttps://{domain} 访问 web使用 ip 访问，记得去设置安全组，开放端口
使用域名访问，可以使用子域名，省得再申请域名，个人推荐使用域名，使用上更方便。
在云厂商上设置好 DNS 解析后，还需要设置下 nginx 的反向代理，才可以使用域名进行访问。
找到你的 nginx 配置文件路径，假设是 /usr/local/nginx/conf/nginx.conf，添加如下配置，并重启 nginx 服务。
# 'upstream' 指令确保你有一个 http/1.1 连接
# 这里启用了 keepalive 选项并拥有更好的性能
#
# 此处定义服务器的 IP 和端口。
upstream vaultwarden-default {
zone vaultwarden-default 64k;
server 127.0.0.1:8080;
keepalive 2;
}
upstream vaultwarden-ws {
zone vaultwarden-ws 64k;
server 127.0.0.1:3012;
keepalive 2;
}
# 将 HTTP 重定向到 HTTPS
server {
listen 80;
listen [::]:80;
server_name pwd.iswbm.com;
return 301 https://hostrequest_uri;
}
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
server_name pwd.iswbm.com;
# 根据需要指定 SSL 配置
ssl_certificate /etc/letsencrypt/live/iswbm.com/cert.pem;
ssl_certificate_key /etc/letsencrypt/live/<you_domain>/privkey.pem;
ssl_trusted_certificate /etc/letsencrypt/live/<you_domain>/cert.pem;
client_max_body_size 128M;
location / {
proxy_http_version 1.1;
proxy_set_header "Connection" "";
proxy_set_header Host host;
proxy_set_header X-Real-IPremote_addr;
proxy_set_header X-Forwarded-For proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Protoscheme;
proxy_pass http://vaultwarden-default;
}
location /notifications/hub/negotiate {
proxy_http_version 1.1;
proxy_set_header "Connection" "";
proxy_set_header Host host;
proxy_set_header X-Real-IPremote_addr;
proxy_set_header X-Forwarded-For proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Protoscheme;
proxy_pass http://vaultwarden-default;
}
location /notifications/hub {
proxy_http_version 1.1;
proxy_set_header Upgrade http_upgrade;
proxy_set_header Connection "upgrade";
proxy_set_header Hosthost;
proxy_set_header X-Real-IP remote_addr;
proxy_set_header Forwardedremote_addr;
proxy_set_header X-Forwarded-For proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Protoscheme;
proxy_pass http://vaultwarden-ws;
}
# 除了 ADMIN_TOKEN 之外，还可以选择添加额外的身份验证
# 删除下面的 '#' 注释并创建 htpasswd_file 以使其处于活动状态
#
#location /admin {
# # 参阅: https://docs.nginx.com/nginx/admin-guide/security-controls/configuring-http-basic-authentication/
# auth_basic "Private";
# auth_basic_user_file /path/to/htpasswd_file;
#
# proxy_http_version 1.1;
# proxy_set_header "Connection" "";
#
# proxy_set_header Host host;
# proxy_set_header X-Real-IPremote_addr;
# proxy_set_header X-Forwarded-For proxy_add_x_forwarded_for;
# proxy_set_header X-Forwarded-Protoscheme;
#
# proxy_pass http://vaultwarden-default;
#}
}
设置好反向代理后，就可以使用域名直接登陆 BitWarden，首次登陆，要先创建帐户
输入邮箱 等其他相关信息，密码千万记住，主密码提示最好写下，省得忘记主密码。
帐号创建完成后，跳转到登陆界面输入主密码进行登陆
登陆后的界面如下
万事具备，只剩迁移，VaultWarden 对于市面上的几乎所有的密码管理器都提供数据导入功能，你听过的没听过的都支持，应该有几十种，包括：
我之前的主要平台是 LastPass ，在如下位置就可以将密码导出为 csv 格式
回到 https://vault.youdomain.com 选择工具 – 导入数据
Bitwarden 提供了全平台的客户端软件，以下是常用的一些平台客户端，附上了链接，可以直接下载
未在此列的平台，可前往官网进行下载：https://bitwarden.com/download
以 Chrome 插件和 iOS 为例，介绍下用法
安装完成后，先点击左上角的设置私人服务器（https://vault.youdomain.com）后
再使用邮箱登陆，就能连接到自己的密码库啦～
在 App Store 安装后，也是和上面一样，先设置私人服务器，也就是前面设置的域名。再输入主密码，就可以登陆上自己的密码管理器。
为了在手机上有更好的体验，需要设置一下，开启自动填充。
在 设置 -> 密码 -> 密码选项，允许 BitWarden 做为密码的填充源
若你手上有其他的设备，方法都是类似的，可自行设置。
Bitwarden 还会生成一系列的安全报告，以保护用户密码的安全。
它会将密码以及邮箱地址与已经公开的，被泄露的数据库中的内容进行对比，并找出这些不安全的密码，另外也会与你自己的密码库中的密码进行对比，防止一个密码被重复使用多次。它能够找到那些非常容易被破解的密码，在自动填写的域名中未使用 https 的，以及网站有两步验证但并未被启用的，并进行提醒，增加密码的安全程度。
测试了下自己的密码，有很多都是有高危风险，这两天就要统一整改下。
除了普通的账号密码，以及两步验证（必须通过网页端开启）外，Bitwarden 还通过 “指纹短语”（fingerprint phrase）来保护帐号安全。每个帐号都有一个固定的，由 5 个英语单词组成的指纹短语，且不会改变。可以通过验证指纹短语，来判断所连接到正确的的 Bitwarden 服务器。或用来验证添加到组织中的帐号是否为正确的帐号。
它还支持通过修改 KDF 迭代来防止主密码遭到暴力破解。
其他一些安全措施，别的密码管理软件也具有，像后台自动锁定，禁止截图等等，这里就不展开细说了。
总而言之，它所提供的功能非常丰富，在生成管理密码外，还有一系列保护账户安全的功能，
私有部署 BitWarden ，不仅自己可以用，也可以给家里人使用，但注册好后，请及时将关闭 web 功能，或者关闭注册功能。
虽然数据和隐私完全掌握在自己的手里，但这一切的前提是安全，服务器的安全需要自己维护，若有没有安全方面的经验，最好去学习一下，明哥这边给一些基本的建议：
总之，便利与安全是两个是相互对抗，只能平衡，不能消除，使用 BitWarden 一定要注意做好安全措施。
转载至使用 VaultWarden 搭建个人密码管理器