不能直接共享含密码的连接配置文件，否则等于批量分发数据库凭证；navicat的.navicat_project或.npz文件虽加密存储密码，但host、port、user等敏感元数据明文暴露，且本地密钥派生导致跨设备解密失败，极易引发权限失控与攻击链路。
不能直接共享含密码的连接配置文件，否则等于批量分发数据库凭证。 navicat 本身不提供“团队连接模板”功能，所谓“统一配置”必须靠手动剥离敏感项 + 集中分发结构化配置，而非同步整个项目或连接对象。
为什么不能直接导出 .navicat_project 或 .npz 文件给团队？
Navicat Cloud 同步的 navicat_project 文件里，若连接勾选了 Save password，密码会以 AES-256 加密形式嵌入其中——但加密密钥由本地用户凭据派生，同一项目在不同机器上可能解密失败；更关键的是，一旦有人用工具解包 .npz，虽看不到明文密码，但 host、port、user、ssh_host、ssh_user 全部暴露，配合内网地址或跳板机信息，极易构成攻击链路。
常见错误现象：
- 成员双击连接报错 Access denied for user 'xxx'@'yyy'（其实是密码没同步成功，但 host 和 user 已泄露）
- DBA 收到告警：某开发用生产库账号连上了测试环境（因连接配置里混用了环境变量名，但实际指向了错误实例）
怎样生成可安全分发的“统一连接模板”？
目标是让所有人能快速建连，又不依赖你本地保存的密码或 SSH 私钥路径。核心动作是「只导出连接骨架」：
- 新建空白连接 → 填写
Host、Port、Username、Database（不填密码）→ 测试连接时选Cancel（不保存密码） - 右键该连接 →
Export Connection→ 保存为template.mysql.xml（注意：不是 .npz） - 编辑该 XML 文件，删掉所有
<password></password>节点和<ssh_private_key_path></ssh_private_key_path>等敏感字段 - 把清理后的 XML 发给团队，每人用 Navicat 的
Import Connection导入，再手动填各自密码
这样每个成员的密码只存在自己机器上，且连接参数（如 host=prod-db.internal）被强制统一，避免手输错误。
如果团队必须共用同一套连接参数（比如 DevOps 统一维护），怎么避免权限失控？
关键不在 Navicat 设置，而在数据库层隔离：
- 为每个角色建独立数据库用户：开发用
dev_ro@'%'（只读指定库）、测试用test_rw@'%'（读写非核心表）、DBA 用dba_full@'10.0.0.%'（IP 白名单限制） - 禁用
GRANT OPTION，防止成员误授权给他人 - Navicat 连接配置里，
Username字段填角色账号（如dev_ro），而非个人账号；密码由各人单独输入 - 禁用 Navicat 的
Auto-save connection passwords（菜单File → Options → General）
容易被忽略的点：Navicat 的「连接组」颜色标记、星标、描述字段可以同步到 Navicat On-Prem Server，但这些元数据不包含凭证——真正要控权，永远得从数据库账号粒度下手，而不是指望客户端界面权限。
