很多人第一次把服务器密码存进终端工具时，都会问一句：Finalshell会泄露密码吗？先把结论说清楚：密码保存在本地配置里，工具本身会做加密处理，真正容易出问题的，往往是使用过程中的几个顺手操作。下面按避坑思路逐条拆开讲。
先弄清密码存在哪里
Finalshell的会话信息通常保存在用户目录下的配置文件中，包括主机地址、端口、用户名，以及勾选“保存密码”后的凭据。密码不是以明文直接摊在桌面上，但这不代表可以随便处置。只要配置文件被复制、导出、同步或打包发给别人，加密保护就会连同文件一起被带走，剩下的就看主密码强度了。
所以更准确的问法是：Finalshell密码保存安全吗？答案取决于你有没有把“保存密码”当成无成本操作。
雷区一：所有服务器都勾选保存密码
- 生产环境、跳板机、数据库主机，建议默认不保存密码，用密钥登录或每次输入。
- 只有自己独占的测试机，才考虑保存密码。
- 保存前先问一句：这台机器如果被人拿到凭据，损失有多大？
雷区二：主密码设成生日或空着
主密码是保护已保存凭据的第一道门。把它设成123456、公司名拼音或直接不设，等于把门虚掩着。实操建议：主密码至少12位，大小写、数字、符号混排，且不要和服务器登录密码复用。记不住就用密码管理器生成并保管，不要写在便签上贴在显示器边。
雷区三：导出配置后直接发群
有人换电脑时会把会话配置导出，然后顺手发到工作群或网盘链接。这是Finalshell导出配置密码最容易出事的场景。正确做法是：导出前先取消勾选“包含密码”，到新机器再逐台补录；如果确实要带密码迁移，用加密压缩包并通过单独渠道传解压密码。
雷区四：会话文件放进公共同步盘
把整个配置目录丢进个人网盘自动同步，看似方便，实则把凭据复制到了多个终端和云端。避坑建议：
- 同步盘只放不含密码的会话清单。
- 需要多机同步时，优先用工具自带的加密备份，或手动导出无密码版本。
- 公司电脑和个人电脑不要共用一个同步目录。
雷区五：安装包来源不明
Finalshell安装包被二次打包的风险，比很多人想象得高。下载时核对官方网站域名、文件大小和数字签名；安装前用杀毒软件扫一遍；不要用来路不明的“绿色版”“破解版”。这一条和密码泄露直接相关：被改过的安装包可能记录你输入的一切。
雷区六：命令里直接写密码
在终端里执行 mysql -u root -p密码、把密码写进脚本、用明文参数调用接口，这些操作会留在历史命令和日志里。Finalshell的历史命令功能方便，但也意味着别人翻到这台机器时可能看到敏感内容。建议改用交互式输入、环境变量或专用凭据文件，并定期清理历史记录。
雷区七：多人共用一套会话配置
团队里把同一个会话文件复制来复制去，谁改过什么没人知道。一旦有人离职，旧配置还在别人电脑上。更稳妥的做法是：一人一份会话，共享主机信息但不共享凭据；人员变动时立即改密码、删会话、回收密钥。
雷区八：只改密码不看登录记录
怀疑泄露时，很多人第一反应是改密码，却不查登录日志。建议按顺序做：先看服务器auth日志里的成功登录IP，再检查是否有陌生密钥被追加到authorized_keys，最后才改密码并重启相关服务。顺序反了，攻击者可能用旧会话继续留着。
一份可落地的自查清单
- 打开会话管理器，逐台确认哪些勾了保存密码，生产机全部取消。
- 检查主密码强度，弱密码立即更换。
- 查看配置目录是否被网盘同步或被人复制过。
- 导出一次不含密码的配置做备份，原文件加密存放。
- 核对安装包来源与签名，卸载来路不明的版本。
- 搜索历史命令和脚本里是否有明文密码。
- 给服务器开启密钥登录，能关密码登录的就关。
- 建立季度检查习惯：删旧会话、换主密码、看登录日志。
回到最初的问题：Finalshell会泄露密码吗？工具只是放大器，真正决定风险的是保存习惯、分发方式和主密码强度。把上面八条雷区逐一排掉，再配合密钥登录和定期审计，绝大多数“泄露”其实可以提前避免。