“数据经过加密”不等于服务器完全看不到任何信息。一个可用的同步服务需要识别账户、设备、对象版本和增量位置。xypass 的目标是让服务器只看到完成认证、授权和同步所必需的内容，而把保险库明文留在已解锁客户端。

服务器不应看到的内容

条目标题、网站、用户名、密码、备注、动态验证码种子和附件正文在客户端加密后才上传。保险库主密码、派生出的解密密钥和活动明文只存在于已解锁设备的运行内存中，不作为同步接口参数发送。

因此，数据库管理员、备份仓库或被盗的普通登录会话都不应直接得到可读条目。账户密码的验证材料也不能直接当作保险库解密密钥使用。

服务器为了运行必须看到的内容

服务端会处理账户标识、设备公钥、授权关系、随机 Vault 和 Item 标识、密文大小、版本、游标、必要时间与删除标记。认证和安全防护还需要会话状态、失败次数、速率限制及有限审计信息。

这些元数据不能还原密码正文，但可能暴露“何时同步”“数据大约有多大”“某个账户有多少设备”等模式。所以更准确的说法是“最小化可见元数据”，而不是“服务器零信息”。

端到端加密不能解决端点失守

保险库解锁后，浏览器必须暂时持有明文才能展示、搜索和复制。能够读取页面、键盘、剪贴板或调试接口的恶意扩展和被控制的操作系统，仍可能在这一刻窃取数据。xypass 会通过锁定、清理、最小权限和明确确认缩小暴露窗口，但网页无法替代可信设备和系统更新。

自部署管理员也不是保险库管理员

部署管理员可以维护账号、认证方式、存储、备份和服务策略，但不因此获得用户保险库密钥。没有预先准备的恢复材料或仍可解锁的设备时，管理员不应存在“万能重置”来恢复明文。这种不可恢复性是加密边界的一部分，不是客服流程缺失。

怎样验证这些承诺

安全结论应当可以检查：锁定后本地缓存只剩密文；网络请求、服务日志、数据库和备份中没有条目明文；撤销设备后旧会话不能继续同步；篡改密文或版本会被拒绝。自部署者还要保护 HTTPS、主机、管理员账户和备份密钥，因为加密边界之外的基础设施仍然影响可用性与元数据安全。