核心用法
gopass 是一款面向团队的命令行密码管理工具，基于 GPG 加密与 Git 版本控制构建，实现密码的安全存储与协作共享。核心操作涵盖：
- CRUD 管理：通过
insert/edit/show/rm等命令完成密码的增删改查，支持键值对元数据扩展 - 密码生成：内置随机密码生成器（
generate），支持字符长度、符号 inclusion 及 XKCD 风格短语（--xkcd） - TOTP 支持：可存储并动态计算基于时间的一次性密码（
otp子命令） - 多仓库架构：通过
mounts实现多个独立密码仓库的挂载，适用于工作/个人隔离场景 - 团队协作：基于 GPG 密钥的
recipients机制管理加密成员，Git 后端实现变更同步
显著优点
1. 加密强度：采用 GPG 非对称加密，私钥本地保管，理论安全性高于主密码模式
2. 版本可控：Git 后端天然支持历史回溯、冲突解决与审计追踪
3. 团队原生设计： recipients 模型区别于个人密码管理器，支持多成员无缝协作
4. Unix 哲学：管道友好，支持 -o（仅密码）、-c（剪贴板）等输出模式，便于脚本集成
潜在局限
- GPG 门槛：密钥生成、信任网络维护对非技术用户存在学习曲线
- 无原生 GUI：纯 CLI 工具，移动端支持依赖第三方客户端
- Git 依赖：仓库体积随历史增长，大规模团队需关注克隆性能
- TOTP 存储悖论：将第二因素（2FA 种子）与密码同库存储，削弱 MFA 独立性
适合人群
- 开发团队、DevOps/SRE 工程师、系统管理员
- 已采用 Git 工作流、具备 GPG 基础的技术组织
- 需共享基础设施凭证（API Key、数据库密码、证书）的团队场景
常规风险
- 密钥管理风险：GPG 私钥泄露将导致全库失陷，需配合硬件密钥（YubiKey）或智能卡强化
- Git 泄露风险：误推明文或配置错误可能导致加密文件暴露于公共仓库
- 剪贴板残留：
-c复制操作后密码可能滞留剪贴板历史，共享设备需谨慎 - 社会工程：GPG 密钥的 "信任网" 若配置宽松，可能引入恶意 recipients