Passbolt 5.16.0 介绍与选型指南

Passbolt 5.16.0 开源团队密码管理器介绍：GPG 端到端加密架构、核心功能、快速上手与同类选型量化对比（Vaultwarden、Bitwarden、KeePassXC、Psono），版本与活跃度数据均实查于 2026-10-19。

Passbolt身份认证2026/10/19

Passbolt 5.16.0 介绍与选型指南

目标：本文面向团队自托管密码管理器的选型场景，介绍 Passbolt 社区版（CE）最新稳定版 5.16.0 的定位、架构、功能与同类产品对比。本文为认知类文档，全部论断实查于官方公开资料（GitHub Releases、官方文档站 help.passbolt.com），未做本地安装实测；版本与社区活跃度数据均标注来源与查询日期（2026-10-19）。

一、环境信息

本篇为认知类文档，信息基准如下（查询日期：2026-10-19）：

  • 查询日期：2026-10-19
  • 版本依据：
    • 最新稳定版：v5.16.0（发布名 "Enjoy the Silence"，发布日期 2026-09-17）。来源：GitHub passbolt/passbolt_api 的 Releases 最新稳定页重定向 https://github.com/passbolt/passbolt_api/releases/latest，实测重定向目标为 releases/tag/v5.16.0；发布日期实查于 Releases Atom 源 https://github.com/passbolt/passbolt_api/releases.atom（该条目 <updated>2026-09-17T10:09:11Z</updated>）。
    • 预发布版本 v5.17.0-test.1（2026-10-08）属于 test 预发布，不作为稳定版采用。
  • 官方来源清单：
    • 源码与发布：https://github.com/passbolt/passbolt_api
    • 官方文档站：https://help.passbolt.com
    • 官方站点：https://www.passbolt.com
    • Docker 镜像与部署仓库：https://github.com/passbolt/passbolt_docker（镜像 passbolt/passbolt）
  • 社区活跃度快照（实查 GitHub API，2026-10-19）：passbolt/passbolt_api 6,176 stars、26 open issues、许可证 AGPL-3.0、最近推送 2026-10-08。

二、软件概述

Passbolt 是一款开源的团队协作密码管理器，由卢森堡公司 Passbolt SA 开发与维护，社区版（CE）以 AGPL-3.0 许可证发布。本文介绍的版本为社区版最新稳定版 5.16.0（2026-09-17 发布）。

Passbolt 的产品定位与个人向密码管理器（如 KeePass 系）有明显差异，它从设计之初就围绕三个核心诉求构建：

  1. 团队协作：密码属于组织资产，围绕「用户 / 用户组 / 文件夹 / 权限」组织，支持组级共享与细粒度权限（只读 / 可编辑 / 组管理）。
  2. 端到端加密（E2EE）：服务端数据库中只存放 OpenPGP 加密后的密文，明文口令只出现在用户本机——服务端被完全攻破也无法直接读取任何一条密码。
  3. 审计与合规：内置动作日志（Action Logs）记录登录、创建、读取、共享等关键动作；商业版提供更完整的合规报告与目录同步能力。

Passbolt 由三部分组成：API 服务端（PHP/CakePHP，本文介绍的 passbolt_api 即服务端）、Web 界面（内嵌于服务端）、浏览器扩展（Chrome/Firefox/Edge，承担端侧加解密）。用户口令的加解密都在浏览器扩展内完成，这是它与 Bitwarden 系（客户端内 AES-256 加解密）在技术路线上的根本差异——Passbolt 使用的是 OpenPGP（GnuPG）公钥体系。

三、核心架构

Passbolt 的整体架构分为「服务端不可见明文 + 客户端密钥自治」两层：

3.1 服务端（passbolt_api）

  • 技术栈：PHP 8.3/8.4 + CakePHP 框架，数据库 MySQL/MariaDB（5.16 版要求 MySQL 8 / MariaDB 10.11+ 等受支持版本，以官方安装文档为准），Web 服务 Nginx + PHP-FPM。
  • 职责：用户/组/资源/权限元数据的存储与校验、注册与恢复流程编排、密文转发、审计日志、REST API（/resources.json、/users.json 等端点）、定时任务（邮件投递、日志清理）。
  • 数据形态：每条密码（resource）在数据库 secrets 表中保存的是针对每个可访问用户分别加密的 OpenPGP PGP MESSAGE 密文——同一条密码共享给 N 个人，就存 N 份各自公钥加密的密文。
  • 服务端自身密钥：服务端有一对 OpenPGP 服务器密钥（容器化安装时首启自动生成），用于 GPGAuth 登录握手时的服务端身份证明，与用户口令加密无直接关系。

3.2 认证体系（GPGAuth）

Passbolt 登录采用 GPGAuth 三段式协议（v1.3.0）：

  1. 客户端用服务器公钥加密一个随机令牌发给服务端，服务端解密后在响应头 X-GPGAuth-Verify-Response 中回明文——客户端由此验证"对方真是服务器"；
  2. 服务端生成随机令牌，用用户公钥加密后经 X-GPGAuth-User-Auth-Token 头返回；
  3. 客户端用用户私钥解密后回传明文，服务端比对通过即建立会话。

整个认证过程中用户私钥只存在于用户浏览器扩展的本地存储中（以口令加密），服务端永远接触不到。会话建立后以 passbolt_session Cookie 维持，同时支持 JWT 令牌用于 CLI/API 场景。

3.3 客户端（浏览器扩展 + Web UI）

  • 浏览器扩展负责生成用户 OpenPGP 密钥对（注册时本地生成，RSA 3072 起步，弱密钥会被服务端强校验拒绝）、以主口令（passphrase）加密私钥、登录时解密握手令牌、查看/编辑密码时端侧加解密。
  • Web UI 由服务端渲染框架页，扩展注入交互逻辑；没有扩展时登录页会提示"需要安装 Passbolt 扩展"。

四、功能特性

以下功能均可在官方文档站对应章节核对（help.passbolt.com）：

功能域社区版（CE，本文 5.16.0）说明
团队密码共享✅ 支持用户/组/文件夹三级组织，权限类型含只读、可更新、可共享、组管理
端到端加密✅ OpenPGP服务端仅存密文；用户密钥对注册时本地生成
多因素认证✅ 部分Duo、TOTP（部分 MFA 提供商在 Pro 版）
审计日志✅ 基础动作日志记录登录/增删改/共享/查看密文等动作（数据库 action_logs 表）
REST API✅ 开放JSON API + JWT 认证，可用 CLI bin/cake passbolt 管理命令族
自定义资源类型✅v5 支持带自定义字段的资源类型（v5-default 等）
LDAP/AD 目录同步❌ Pro企业目录集成
报表与合规（审计报表、访问统计）❌ Pro商业合规功能
SSO（SAML/OIDC 等）❌ Pro企业单点登录
多服务器/集群部署形态部分服务端无状态层可横向扩展，数据库/密钥存储需自行高可用

💡 技术拓展：自托管密码管理器的「服务端密文形态」有两种主流路线——

路线代表产品原理特点
OpenPGP 公钥体系Passbolt每个用户一对密钥，密码按接收者公钥逐个加密密钥即身份，共享即"逐人加密"，认证与加密同源
对称信封加密Bitwarden/Vaultwarden主密钥（用户口令派生）加密数据，再被 RSA/共享密钥包裹共享用组织密钥包一层，扩展性更好

Passbolt 实际采用 OpenPGP 路线，理由是其"强制验证、密钥即身份"的合规属性；代价是每增加一个共享对象都要为该用户追加一份密文（本文写作时服务端接口即要求"共享时必须携带所有新成员的密文"）。

五、快速上手

本节为官方文档的最小示例转述（非本地实测），完整步骤见官方文档：https://help.passbolt.com/hosting/install/ce/ubuntu.html（Ubuntu 安装页，查询日期 2026-10-19）。

官方对社区版提供的标准安装路径是「添加 Passbolt 官方 APT 仓库 → 安装 passbolt-ce-server 元包 → 安装向导生成服务器密钥与数据库 → 首管理员注册链接」。官方 Ubuntu 页的最小命令序列如下（引自官方文档，路径与包名以官方页为准）：

# 1. 添加官方 apt 仓库并安装社区版服务端（引自官方文档）
curl -LO https://download.passbolt.com/ce/installer/passbolt-repo-setup.ce.sh
curl -LO https://github.com/passbolt/passbolt-dep-scripts/releases/latest/download/passbolt-ce-SHA512SUM.txt
sha512sum -c passbolt-ce-SHA512SUM.txt && sudo bash ./passbolt-repo-setup.ce.sh || echo "Bad setup. Exit the installation?"
sudo apt install passbolt-ce-server

安装器会引导配置数据库与 HTTPS，完成后浏览器打开站点即出现首个管理员注册向导（生成个人 OpenPGP 密钥、设置主口令）。团队/容器化部署的官方形态（passbolt_docker 仓库的 compose 编排）在本站《Passbolt 5.16.0 Docker Compose 部署指南》中逐条实测展开。

六、适用场景与限制

6.1 适合

  • 运维/研发团队共享基础设施口令：服务器 root、数据库、中间件管理台账号等，需要"有人离职就能撤销、有组就能交接"的组织化管理。
  • 有审计与合规诉求的中小组织：需要知道"谁在什么时候读了哪条密码"（动作日志），CE 版即可覆盖基础审计。
  • 对服务端零明文有强执念的场景：服务端完全无法解密任何密码，DBA/云管理员泄露数据库也不泄露口令。
  • 需要开放 API 做自动化：REST API + JWT + CLI，可对接 CI/CD 取凭据。

6.2 限制（以官方文档与产品页为依据）

  • 必须依赖浏览器扩展：没有扩展就无法登录使用（安全模型如此设计），无"纯网页输入主口令登录"的兜底方式。
  • 个人/单机备份场景不友好：KeePass 系"一个文件走天下"的便携性是 Passbolt 不具备的；Passbolt 的价值建立在服务端在线。
  • 目录同步、SSO、报表等企业能力在 Pro 版：CE 版做大型组织（数百人以上、强目录集成）会吃力。
  • 许可为 AGPL-3.0：对 SaaS 化二开有传染性义务，商用集成前需法务确认。

七、同类选型对比

以下数据均为 2026-10-19 实查：star/issue/许可证实查 GitHub API（各仓库根端点），版本节奏实查各仓库 Releases 列表（统计近 12 个月非 pre-release、非 draft 的正式发布数）， Vaultwarden star 数实查 dani-garcia/vaultwarden（69,270）。Passbolt 版本号实查 passbolt/passbolt_api Releases 最新稳定页。

7.1 社区活跃度与版本节奏（量化）

项目（GitHub 仓库）Stars（2026-10-19）近 12 个月正式版发布数最新稳定版最近推送许可证
Passbolt（passbolt/passbolt_api）6,17614v5.16.0（2026-09-17）2026-10-08AGPL-3.0
Vaultwarden（dani-garcia/vaultwarden）69,270151.37.4（2026-10-05）2026-10-16AGPL-3.0
Bitwarden 服务端（bitwarden/server）20,409—（服务端随客户端滚动发版）—2026-10-19GPL/AGPL/商业混合（仓库 LICENSE 为 NOASSERTION，需逐文件确认）
Bitwarden 客户端（bitwarden/clients）14,01187desktop-v2026.10.0（2026-10-15）2026-10-19NOASSERTION（多许可混合）
KeePassXC（keepassxreboot/keepassxc）29,30322.7.12（2026-03-10）2026-10-18GPL-3.0
Psono（psono/psono-server）1100（GitHub 上无 Release/Tag，发布走 Docker Hub 与自有渠道）—2026-10-13AGPL-3.0（仓库 LICENSE）

解读：Passbolt 的 star 数在五者中不占优，但版本节奏最健康之一（近 12 个月 14 个正式版，平均每月 1+ 个，且均为带发布说明的稳定版）；Psono 活跃度明显掉队（GitHub 无发布记录）；KeePassXC 是离线工具，节奏慢是形态使然而非停滞。

7.2 能力与形态矩阵（转述各官方文档）

维度Passbolt CEVaultwardenBitwarden（官方托管/自托管）KeePassXCPsono
形态团队密码服务器 + 浏览器扩展Bitwarden 服务端 Rust 重实现完整 SaaS + 可自托管服务端离线密码库（无服务器）团队密码服务器
端到端加密✅ OpenPGP，服务端零明文✅ 沿用 Bitwarden E2E 模型✅ AES-256 + 信封加密✅ 库文件本身加密✅
团队共享模型用户/组/文件夹 + 逐人密文组织/集合（Collections）组织/集合，商业版功能完整❌ 无服务器概念（靠文件同步共享）用户/组
客户端浏览器扩展（Chrome/Firefox/Edge）+ Web + 移动端复用全部官方 Bitwarden 客户端全平台客户端 + CLIWindows/macOS/Linux 桌面Web + 浏览器扩展
审计日志✅ 动作日志（CE 可用）部分商业版完整❌部分
目录同步/SSO❌ Pro部分（OIDC 等社区补齐）✅ 商业版❌部分
服务端资源占用中（PHP + DB）极低（Rust 单二进制，官方宣称 512MB 内存可跑）高（官方自托管要求约 2GB+ 内存）无服务端中
商业支持Passbolt SA（CE/Pro 双轨）无官方商业体（社区维护）Bitwarden Inc.社区Psono CC GmbH

7.3 选型建议

  • 选 Passbolt：要"团队协作 + GPG 端到端 + 审计合规"三位一体，能接受浏览器扩展强依赖，追求密钥即身份的强验证模型；典型是运维团队共享基础设施口令。
  • 选 Vaultwarden：个人/小团队想用 Bitwarden 全家桶客户端但自托管预算极低；弱在组织级审计与合规深度。
  • 选 Bitwarden 官方自托管：需要官方支持、完整商业功能（SSO/目录同步/企业报表）与多平台客户端一致性。
  • 选 KeePassXC：个人离线为主、无服务器攻击面、单机文件便携；不适合需要在线协同的团队。
  • 选 Psono：无明显推荐场景——活跃度与生态均明显弱于前三者，除非已有存量部署。

八、参考链接

  • Passbolt 官网：https://www.passbolt.com
  • 源码仓库（本文版本依据）：https://github.com/passbolt/passbolt_api
  • 最新稳定 Release（v5.16.0）：https://github.com/passbolt/passbolt_api/releases/latest
  • 官方文档站：https://help.passbolt.com
  • CE Ubuntu 安装文档：https://help.passbolt.com/hosting/install/ce/ubuntu.html
  • Docker 部署仓库：https://github.com/passbolt/passbolt_docker
  • Vaultwarden 仓库：https://github.com/dani-garcia/vaultwarden
  • Bitwarden 服务端仓库：https://github.com/bitwarden/server；客户端仓库：https://github.com/bitwarden/clients
  • KeePassXC 仓库：https://github.com/keepassxreboot/keepassxc
  • Psono 仓库：https://github.com/psono/psono-server