更换浏览器或密码管理器时，导出一个CSV文件再导入，表面上只需几步。但导出的文件往往不像原密码库那样受到同等保护，它可能直接包含网站、用户名和密码。真正完成迁移，不只是目标应用显示导入成功，还包括账号核对、登录验证以及临时明文副本的处理。以下以Google密码管理器公开说明为例讨论流程，不要求读者在聊天、网页或远程协助中提供密码。
先确认是否真的需要落地一份CSV
如果来源与目标工具提供受支持的直接迁移方式，可以先阅读双方文档，了解是否能减少临时文件。确实需要CSV时，再规划它保存在哪里、由谁操作、何时清理。不要一边导出一边临时决定把文件发送到哪里，这会增加不必要的副本。
迁移应在自己有权管理的账号和可信设备上进行。公司统一管理的密码库可能有单独流程，不能为了方便自行批量导出。共享电脑、公共网盘同步目录和聊天下载目录，都不适合作为临时明文密码的随手存放点。准备好目标应用，再开始导出，可以缩短文件暴露时间。
把密码导出和普通表格导出区别对待
CSV只是文本表格格式，本身不意味着内容已经加密。即使原密码管理器打开时需要设备验证，导出的文件也可能被普通文本或表格软件读取。谷歌明确提醒，未清理的密码文件可能被使用该设备的人打开，因此它不能像普通工作清单一样长期留在桌面。
不要给文件改一个不起眼的名字就认为安全，也不要仅用隐藏文件夹替代保护。把密码内容截图、复制到笔记或通过聊天中转，同样会产生新的暴露位置。最简单的控制方式是减少复制次数，使用明确的临时位置，并确保整个迁移过程由本人连续完成。
导出前确认选中的账号和密码库
同一台设备可能登录工作与个人两个浏览器配置，也可能存在多个密码库。导出前先确认当前配置对应哪一个账号，以及导出的范围是否符合本次目的。不要仅凭浏览器窗口颜色或最近一次使用习惯判断，应该在管理器中核对账号身份。
如果只打算迁移个人账号，不应把单位共享记录一并带走。对已停用或不再属于自己的账号，也应先按原管理规则处理。本文不建议在迁移过程中随手删除历史密码，因为一旦与导入失败同时发生，恢复会更困难；先把迁移范围明确下来，再决定后续整理。
字段检查只看结构，不把整表上传求助
谷歌帮助说明，导入的CSV需要相应的地址、用户名和密码字段。来源应用的字段名称可能不同，因此应对照目标工具要求检查表头和编码。结构检查不需要把真实密码发给任何人；向技术支持咨询时，可以制作一份仅含虚构示例值的小样本。
用表格软件打开CSV时，要留意它是否会自动修改长数字、日期形态或前导零。密码不是供软件自由格式化的数据。没有必要编辑内容时，尽量避免另存为导致字段变化；若确需转换，应保留受保护的原来源，完成后核对少量代表性记录，不能只凭行数相同认定数据完全一致。
先确认导入目标，再选择临时文件
进入目标密码管理器的正式导入界面后，核对当前登录账号与预期一致，再选择刚导出的文件。不要在搜索引擎找到的陌生所谓迁移页面中上传密码库，也不要向要求关闭账号保护的工具提供文件。导入界面和账号归属，是比按钮名称更重要的检查点。
若目标应用给出重复项、字段不匹配或部分失败提示，应先保存不含密码的结果信息。不要为了得到一个成功提示反复导入同一份文件；这可能产生重复记录，让日后自动填充更加混乱。先分清它是在跳过已存在项目，还是确实拒绝了某些记录，再决定如何处理。
验证几类代表性账号，而不是公开抽查密码
导入完成后，可以选择几个自己常用、风险可控的账号进行登录验证，例如一个普通网站、一个使用邮箱作为用户名的网站，以及一个存在多个子域入口的服务。验证应通过原服务的可信入口完成，不从陌生邮件提供的链接进入。
观察目标管理器能否找到正确记录、填入正确账号并正常登录。若自动填充没有触发，先检查网站地址对应关系，不能立即认定密码错误。整个过程无需把密码显示给旁观者，更不需要把登录成功截图连同账号完整信息发送出去。对重要账号，应另外确认原有多因素验证仍然正常。
不要把密码迁移等同于所有凭据都迁移
密码、通行密钥、一次性验证器、恢复码和共享权限，不一定由同一种导出方式承载。目标工具支持哪些项目、来源工具允许迁出哪些项目，都要分别看文档。看到密码条数一致，不能据此宣布所有账号恢复能力也已经迁移。
对于依赖手机验证器或硬件密钥的账号，应确认设备仍可用，并保留原有正规恢复方式。不要为了测试迁移而关闭多因素验证，也不要把恢复码放进普通CSV追加列中。如果某种凭据没有受支持的迁移路径，应该在原服务正常管理页面按官方流程处理，而不是寻找能绕过验证的工具。
清理时追踪临时文件经过的每一个位置
完成验证后，处理原下载目录、手动复制位置以及可能留下的工作副本。若使用过回收站或云同步目录，还要了解相应的保留机制。清理浏览器下载历史，不等于文件本体已经删除；关闭表格窗口，也不等于自动恢复或最近文件记录不存在。
这里不承诺一次普通删除就能达到专业取证意义的不可恢复。实际目标是避免明文密码继续处于日常可访问位置。如果文件曾误发给别人或放入公开分享，应把它视作可能泄露，按账号重要程度及时更换相关密码，而不是只撤回消息就认为风险消失。
保留的是迁移结果，不是明文密码清单
为了以后知道做过什么，可以记录迁移日期、来源工具、目标工具、导入数量和未完成项目，但不要把密码内容写进操作日志。涉及账号名称时也只保留必要信息，避免生成另一份过于详细的资产清单。
遇到部分项目未成功，可以标记为待单独处理，而不是为了数量好看把它算进完成。目标库是否正常同步到自己的其他设备，也需要按工具说明确认；同步完成之前，不宜急着清空唯一可用的原密码库。先完成验证，再按自己的保留策略处理旧库，才能避免两边都不完整。
迁移结束后再做一次账号安全检查
如果目标管理器提供密码安全检查，可以在迁移完成后查看重复、弱密码或已泄露提示，并按重要性逐个处理。不要把一次性批量改密与迁移混在同一时刻，否则出现登录问题时难以判断究竟是导入错误还是密码已变更。
一套清楚的闭环是：明确范围、受控导出、核对目标、验证登录、清理临时明文、保留无秘密的结果记录。它不依赖复杂配置，却能避免最常见的遗漏。今后再更换设备时，也应先查看当前工具的正式迁移能力，而不是默认必须把整个密码库发送给另一台设备。