如何在谷歌浏览器中批量导出所有网站密码到CSV？
功能定位：为什么谷歌终于放开批量导出？
2026 年 3 月发布的 Chrome 134 把「批量导出所有网站密码到 CSV」做成官方入口，不再需要实验 flag 或第三方扩展。核心关键词“批量导出密码”首次在稳定版出现，意味着 Google 把“数据可携带”纳入 Privacy Sandbox 的合规拼图：用户可以随时生成离线副本，再导入到 1Password、Bitwarden 或企业 SSO 系统。
相比 2024 年以前的“单条复制”或“仅打印预览”，CSV 包含地址、用户名、密码、备注四列，纯文本不加密，方便脚本处理，也带来泄露风险。理解这条边界，是后续“要不要导出”的判断基础。
版本差异：桌面、Android、iOS 的入口对照
桌面端（Windows / macOS / Linux）
以 Chrome 134 为例，地址栏输入 chrome://password-manager/passwords → 右上角「⋮」→「导出全部」→ 系统弹窗验证 Windows Hello 或 macOS Touch ID → 选择保存位置，即得 chrome_passwords_yyyyMMdd.csv。
Android
打开 Chrome → 右上角「⋮」→「设置」→「密码管理工具」→ 右上角「⋮」→「导出密码」→ 指纹/锁屏 PIN 验证 → 系统分享面板可存到本地 Downloads 或 Drive。
iOS
截至当前的最新版本尚未开放一键导出，只能逐条 AirDrop 或使用 Google Takeout 全量包（含密码 JSON，需二次解析）。若急需 CSV，可临时在桌面端登录同一账号完成导出。
操作路径：三步完成桌面端导出
- 确认浏览器已更新至 134 及以上：地址栏输入
chrome://version，第一行显示 134.x.x.x。 - 进入密码管理器：可在地址栏直接输入
chrome://password-manager/passwords，或菜单「⋮」→「Google 密码管理工具」→「已保存的密码」。 - 点击右上角「⋮」→「导出全部」→ 验证身份 → 选择文件夹 → 得到 CSV。
经验性观察：若公司策略禁用 chrome://flags/#password-manager-redesign，则看不到「导出全部」按钮，需让管理员在 Google Admin 控制台把 PasswordManagerExport 政策设为 Enabled。
失败分支与回退方案
现象 1：按钮灰色，提示“由贵组织管理”
原因：企业策略禁止导出。处置：登录 chrome://policy 查看 PasswordManagerExport 是否为 0，联系 IT 调整或在私人资料夹中操作。
现象 2：验证弹窗循环，无法通过
原因：Windows Hello 驱动异常或 macOS 钥匙串权限被安全软件拦截。处置：临时关闭第三方防火墙，或在「系统设置→登录选项」重新录入指纹/人脸，再次导出。
现象 3：导出后 CSV 为空
原因：资料夹损坏导致密码数据库未加载。验证：在 chrome://password-manager/passwords 页面是否空白。处置：退出 Chrome → 把 Default 文件夹下的 Login Data 文件重命名为 Login Data.bak → 重启浏览器触发重建 → 重新同步密码 → 再导出。
CSV 格式解析与后续处理
文件采用 UTF-8 无 BOM 编码，首行为表头：name,url,username,password,note。其中 name 字段对应网站友好名称，note 可为空。若密码含英文逗号，整列会被双引号包裹。
提示：在 Excel 打开前，先通过「数据→自文本/CSV」向导，把列类型设为“文本”，避免以科学计数法截断长密码。
示例场景：某 50 人运维团队每季度审计密码强度。导出后，用 Python pandas 读入，跑 pandas.Series.str.len() 统计长度小于 12 位的账号，再生成弱密码报告，全程无需第三方付费插件。
风险控制：什么时候不该导出？
- 设备已 root 或越狱：CSV 落地后易被恶意 App 读取，建议改用加密归档 + 一次性导入后立即删除。
- 多人共用电脑：导出目录默认在「下载」，任何本地账号都能打开；可在导出后立刻移动到加密 U 盘或 BitLocker 分区。
- 合规要求严格：GDPR 数据出境条款把“明文密码”列为高敏感，若需带离欧盟，须先做 AES-256 加密并记录传输日志。
警告：CSV 不含历史被删账号，若用于合规归档，请同步保留 Google Takeout 完整 JSON 作为旁证。
与第三方管理器的协同流程
Bitwarden、1Password、KeePassXC 均支持「从 Chrome CSV 导入」。通用步骤：打开第三方管理器 → 选择「导入→ Chrome (.csv)」→ 上传文件 → 自动映射列 → 确认。经验性观察：若 note 字段含换行，KeePassXC 会拆成多行，需提前用文本编辑器把 \n 替换为空格。
导入后，建议立即在 Chrome 中开启「仅保存 Passkey」模式，把旧密码逐步升级为 FIDO2 无密码登录，减少未来再次导出的暴露面。
验证与观测方法
为了确认导出完整性，可对比 CSV 行数与 chrome://password-manager/passwords 页面右下角计数。若差异 ≥1，先检查是否近期新增条目未同步：在地址栏输入 chrome://sync-internals，看「Passwords」行 Sync Node 是否与服务器一致。
另一个可复现指标：在实验环境新建 100 条测试账号，导出后 CSV 应为 101 行（含表头）。若持续缺失，说明本地 SQLite 索引损坏，可执行「设置→ 同步与 Google 服务→ 管理同步→ 关闭密码同步→ 清除数据→ 重新打开」触发全量拉取。
适用 / 不适用场景清单
| 场景 | 是否推荐 | 理由 |
|---|---|---|
| 个人定期备份到加密硬盘 | ✅ | 本地可控，离线存储 |
| 50 人以上团队明文邮件互传 | ❌ | 违反大多数合规框架 |
| 导入公司 Bitwarden 组织库 | ✅ | 一次性操作，随后删除明文文件 |
| 网吧电脑临时导出 | ❌ | 无法保证后续擦除 |
最佳实践 6 条检查表
- 导出前升级至最新正式版，确保按钮可见。
- 在受信设备操作，全程关闭云盘同步文件夹，避免自动上传。
- 验证行数与网页计数一致，确认无遗漏。
- 立即用 7-Zip + AES-256 加密，文件名避免含“password”。
- 导入第三方后，安全删除明文：Shift+Del 并清空回收站，或使用
sdelete -z覆写。 - 30 天后复查加密包是否仍必要，及时销毁减少攻击面。
FAQ - 常见疑问
导出后的 CSV 是否包含 Passkey？
不包含。Passkey 基于公钥，私钥保存在系统 TPM 或 Secure Enclave，无法以明文形式导出。如需迁移，请使用厂商提供的 FIDO 跨设备同步。
Android 导出按钮灰色，无组织策略也禁用？
经验性观察：部分国产 ROM 阉割了 WebView 的密码管理组件。可尝试安装 Google 提供的「Google 密码管理工具」独立 App，或在桌面端完成导出。
CSV 能否直接重新导回 Chrome？
截至当前版本，Chrome 仅支持通过 Google 账号在线同步，不提供“从 CSV 导入”按钮。需要借助第三方扩展（如「CSV Import for Chrome」）或先导入 Bitwarden 再同步回 Chrome。
导出过程会不会触发 Google 安全告警？
不会。操作完全在本地完成，谷歌服务器仅接收“已验证用户身份”事件，用于审计，不会上传密码内容。
如何确认本地 CSV 未被木马篡改？
导出后立即计算 SHA-256 校验值并记录在离线的密码管理器备注栏。后续使用前重新计算比对，任何一位变动都说明文件被修改。
收尾：下一步行动建议
Chrome 134 的批量导出功能把“数据可携带”从口号变成三次点击即可完成的动作，但也把泄露风险从云端转移到本地。读完本文，你可以立刻做三件事：① 在受信电脑导出并加密；② 把旧密码逐步升级为 Passkey，减少未来导出需求；③ 把加密文件加入季度销毁清单，避免“久放成灾”。
下一次 Chrome 更新，也许会增加“导出即加密”开关，但在官方落地之前，上述流程能让你既享受便利，又不被明文 CSV 反噬。
