你家里那台跑 Home Assistant 的小主机，可能已经悄悄检查过你的密码了。
10 月 16 日，用户 Viss 在 HA 文档仓库开了个 issue，标题很冲：「我从未授权一个会扫描我秘密的集成」。升级到 2026.10.1 后，他第一次看到系统提示某个加载项使用了不安全密码；他认为这事该先问用户同不同意。GitHub
HA 核心维护者 frenck 第一反应是「这不是侵犯隐私」，还拿 1Password 举例。GitHub
issue 创建一小时后，被以 won’t fix 关闭。frenck 还表示如果这就能让你卸载或 fork，那就请便。GitHub
帖子被转到 Hacker News，很快冲到 251 分、236 条评论。从第一条回复算起，116 分钟后，frenck 发长文道歉，承认先前的回复比这件事应得的更轻慢。Hacker NewsGitHub
先别急着卸载。这项检查不是新功能，也没有把你的密码传上网。 它只看加载项配置里被标记为 password 的字段，在本地做 SHA-1，只把哈希前 5 位发给 Have I Been Pwned，再在本地比对。密码原文和完整哈希都不会离开你的机器。而且只有跑在 Supervisor 上的 HAOS / Supervised 安装才受影响，群晖 Docker、Container 版用户不用紧张。GitHubGitHub 源码Home Assistant 文档
HIBP 收到的只是一段哈希前缀，没法反推出你的密码。这套叫 k-anonymity 的方案，1Password 也在用。它保证服务端看不到密码，连完整哈希都看不到。GitHubHome Assistant 文档
为什么老用户现在才看到？这个检查在 Supervisor 里存在多年，但显示警告的 bug 最近才修好，很多人是第一次撞见。GitHub
真正让老用户炸毛的，是当时默认开启、关闭方法没写进文档，得翻 issue 才知道。技术上没问题，程序上没授权。GitHubHome Assistant 文档
10 月 19 日，Supervisor 2026.10.3 把这项检查改成 opt-in，默认关闭；想用的人执行 `ha security options --pwned=true`。从「won’t fix」到改默认值只用了 3 天。不过截至 10 月 22 日，官方文档仍写着检查默认开启，和 10.3 的实际行为对不上，升级后别只信文档。GitHubHome Assistant 文档
还有一个尴尬：警告只说哪个加载项，不说哪条密码。有用户吐槽这是耗时数小时的排查。也有 Mosquitto 用户有 20 多个账号，不想全部重设。安全功能只制造焦虑、不给出定位，用户下次只会把它关掉。GitHubGitHub
一条 HN 评论很扎心：有人本来准备下单 Home Assistant Green，看到这轮回应后开始犹豫。开源项目的护城河从来不是代码，而是出事时你怎么对待提问题的人。Hacker News
对普通用户，建议很简单：确认自己是不是 Supervisor 安装；是的话升到 2026.10.3，默认就关了；想保留保护，再执行 `ha security options --pwned=true` 打开。别因为一条检查否定整套系统，但也别把「开源」自动等同于「透明」。
