Infisical CLI 机密管理 是做什么的？
将 Infisical CLI 作为机密的唯一可信源边界：安全地进行认证，使用 infisical run 将机密注入到进程中，并避免将值复制到聊天、日志或跟踪文件中。优先使用进程时注入和项目原生机密界面，而非手写 .env 文件。
变量
- INFISICAL_DOMAIN：自托管或云域名，例如
https://infisical.example.internal。 - INFISICAL_PROJECT_ID：Infisical 项目 UUID。
- INFISICAL_ENV：环境别名，通常为
dev、staging或prod。 - INFISICAL_MACHINE_ENV_FILE：可选的本地环境文件，包含
INFISICAL_CLIENT_ID、INFISICAL_CLIENT_SECRET、INFISICAL_DOMAIN和INFISICAL_PROJECT_ID。 - PAWRRTAL_REPO：应用 Pawrrtal 模板时的可选 Pawrrtal 检出路径。
工作原理
首先，对机密界面进行分类：本地开发进程、服务进程、CI 或应用程序拥有的工作区/用户机密。然后，通过用户登录或机器身份进行认证，运行最小且安全的测试，并使用 infisical run 在进程边界注入机密——除非目标应用程序拥有自己的加密机密存储。
命令
| 命令 | 用途 |
|---|---|
/infisical-cli-secrets recon | 检查仓库并决定机密应如何流动。 |
/infisical-cli-secrets auth | 通过用户登录或机器身份安全地进行认证。 |
/infisical-cli-secrets run | 使用 Infisical 机密注入包装一个命令。 |
/infisical-cli-secrets sync | 添加、更新或审计机密键而不会泄露值。 |
/infisical-cli-secrets pawrrtal | 将干净模式应用于 Pawrrtal 网关和工作区机密。 |
食谱
每个命令都有一个详细的分步指南。在执行命令之前，请先阅读相关的食谱文件。
| 命令 | 食谱 | 使用时机 |
|---|---|---|
| recon | cookbook/recon.md | 需要了解仓库的环境文件、配置和机密层时。 |
| auth | cookbook/auth.md | 需要安全的 CLI 会话或机器令牌时。 |
| run | cookbook/run.md | 需要启动一个带有机密注入的命令时。 |
| sync | cookbook/sync.md | 需要设置、导入、比较或验证机密键时。 |
| pawrrtal | cookbook/pawrrtal.md | 仓库是 Pawrrtal 或使用其 paw/workspace-env 约定时。 |
当用户调用 /infisical-cli-secrets 时，先读取匹配的食谱文件，然后执行步骤。
安全规则
- 切勿打印机密值。避免使用
infisical secrets --plain、infisical export或printenv，除非输出被重定向到受保护的文件并且用户明确请求这样做。 - 优先使用
infisical run -- <command>而非写入.env。仅当目标工具无法接受进程环境变量时才使用文件，并将权限设置为0600。 - 对于自托管实例，在每个命令中传递
--domain或导出INFISICAL_API_URL/INFISICAL_DOMAIN。 - 对于机器身份，将令牌捕获到
INFISICAL_TOKEN中；不要直接在命令字符串中传递令牌或将其存储在跟踪文件中。 - 将删除操作视为高风险。确认意图，验证键名和环境，如果安装的 CLI 删除路径已知存在缺陷，则优先使用 UI/API 进行删除。
相关技能
配合使用： /tailscale、/dev-box、/deploy-checklist