不能直接同步.navicat_project或.npz文件，因其密码用本地密钥加密且连接参数明文暴露；应导出清理敏感信息的XML模板，成员导入后单独填写密码并配置SSL与保活。
为什么不能直接同步 .navicat_project 或 .npz 文件给团队
因为这些文件里的密码是用本地用户凭据派生密钥 AES-256 加密的，换台电脑很可能解不开；更危险的是，host、port、username、ssh_host、ssh_user 全部明文暴露——哪怕没泄露密码，攻击者拿到 prod-db.internal:3306 和 dba@jump-bastion 就足以发起横向渗透。
常见错误现象包括：
- 成员导入后双击连接报
Access denied for user 'dev'@'10.0.1.5'（其实是密码没解出来，但 IP 和账号已外泄） - 测试环境连接模板里写了
host=aliyun-rds-prod，结果 DNS 解析到的是旧的阿里云经典网络地址，连上真实生产库
怎样导出安全可用的跨云连接模板（XML 格式）
目标是让所有人填一次密码、复用同一套非敏感参数，且适配 AWS RDS、阿里云 PolarDB、腾讯云 TDSQL 等不同云厂商的实例命名习惯。
操作步骤如下：
- 新建空白连接 → 选对应数据库类型（如
MySQL/PostgreSQL/AWS RDS）→ 填写host（用云厂商提供的 endpoint，如mydb.xxxxxxx.us-east-1.rds.amazonaws.com）、port、username、database，**不填密码** - 点击“测试连接” → 弹窗提示失败时点
Cancel（千万别点 Save） - 右键该连接 →
Export Connection→ 保存为template-aws-mysql.xml（注意后缀必须是.xml，不是.npz） - 用文本编辑器打开 XML，删掉所有含
<password></password>、<ssh_private_key_path></ssh_private_key_path>、<client_key_file></client_key_file>的整行 - 检查
<host></host>值是否为标准云 endpoint（避免写成192.168.1.100这类内网地址），确认<port></port>与云控制台显示一致
团队成员如何正确导入并填入各自凭证
每个成员拿到清理后的 XML 后，必须走标准导入流程，不能双击打开或拖进 Navicat 窗口——否则会跳过密码输入环节，直接用空密码尝试连接。
正确做法是：
- Navicat 主界面 →
文件→导入连接→ 选择该 XML 文件 - 导入成功后，连接名后带 “(未保存)” 标识 → 右键 →
编辑连接 - 在弹窗中仅填写自己的密码（
密码字段），若需 SSH 隧道，则填自己本机的ssh_private_key_path，**绝不复用他人路径** - 测试连接成功后，再点
确定保存 —— 此时密码只存于本地加密存储，不会进任何共享文件
如果团队共用一套 host 但不同环境（dev/test/prod），建议在 XML 中用占位符标注，例如 <host>${DB_HOST}</host>，并在分发说明文档里明确替换规则，避免手误。
跨云连接的兼容性与性能注意事项
Navicat Premium 17 对主流云厂商支持良好，但部分细节仍需手动对齐：
- AWS RDS PostgreSQL 实例默认禁用
pg_stat_statements，导致 Navicat 的“查询分析器”部分指标为空，需 DBA 手动开启 - 阿里云 PolarDB MySQL 版的 endpoint 默认带
-readonly后缀，读写分离场景下，务必确认连接模板中用的是主节点 endpoint（无后缀） - 腾讯云 TDSQL 分布式实例不支持 Navicat 的“批量导出表结构”功能，需改用
mysqldump --no-data手动获取 - 所有云厂商都要求开启 SSL/TLS，连接模板中必须勾选
使用SSL并配置CA证书文件路径（该路径可统一写为./rds-combined-ca-bundle.pem，由团队共享证书文件）
最易被忽略的一点：不同云厂商的超时策略差异极大。阿里云 RDS 默认 wait_timeout=300 秒，而 AWS RDS 可设为 86400，Navicat 的“保持连接活跃”选项若未启用，在长查询或调试中断后容易静默断连，建议统一勾选并设为 240 秒。
