Infisical CLI Secrets
使用 Infisical CLI 作為密碼管理的真實來源邊界：安全地驗證身份、使用 infisical run 將密碼注入到程序中，並避免將密碼值複製到聊天、日誌或追蹤的檔案中。優先選擇在程序運行時注入密碼以及使用專案原生的密碼表面，而非手動編寫 .env 檔案。
變數
- INFISICAL_DOMAIN：自託管或雲端網域，例如
https://infisical.example.internal。 - INFISICAL_PROJECT_ID：Infisical 專案的 UUID。
- INFISICAL_ENV：環境縮寫，通常為
dev、staging或prod。 - INFISICAL_MACHINE_ENV_FILE：可選的本地環境變數檔案，包含
INFISICAL_CLIENT_ID、INFISICAL_CLIENT_SECRET、INFISICAL_DOMAIN和INFISICAL_PROJECT_ID。 - PAWRRTAL_REPO：應用 Pawrrtal cookbook 時的可選 Pawrrtal 簽出路徑。
運作方式
首先分類密碼表面：本地開發程序、服務程序、CI 或應用程式擁有的工作區/使用者密碼。然後使用使用者登入或機器身份驗證，執行最小的安全測試，並在程序邊界使用 infisical run 注入密碼，除非目標應用程式有自己的加密密碼儲存。
指令
| 指令 | 用途 |
|---|---|
/infisical-cli-secrets recon | 檢查倉庫並決定密碼應如何流動。 |
/infisical-cli-secrets auth | 使用使用者登入或機器身份進行安全驗證。 |
/infisical-cli-secrets run | 使用 Infisical 密碼注入包裹一個指令。 |
/infisical-cli-secrets sync | 新增、更新或稽核密碼鍵值，而不洩漏密碼值。 |
/infisical-cli-secrets pawrrtal | 將乾淨的模式應用於 Pawrrtal 閘道器與工作區密碼。 |
Cookbook
每個指令都有詳細的逐步指南。在執行指令前，請先閱讀相關的 cookbook 檔案。
| 指令 | Cookbook | 使用時機 |
|---|---|---|
| recon | cookbook/recon.md | 當你需要了解倉庫的環境變數檔案、設定和密碼層面。 |
| auth | cookbook/auth.md | 當你需要一個安全的 CLI 會話或機器 Token。 |
| run | cookbook/run.md | 當你需要啟動一個帶有密碼注入的指令。 |
| sync | cookbook/sync.md | 當你需要設定、匯入、比較或驗證密碼鍵值。 |
| pawrrtal | cookbook/pawrrtal.md | 當倉庫是 Pawrrtal 或使用其 paw/workspace-env 慣例時。 |
當使用者呼叫 /infisical-cli-secrets 時，請先閱讀對應的 cookbook 檔案，然後再執行步驟。
安全規則
- 絕不印出密碼值。避免使用
infisical secrets --plain、infisical export或printenv，除非輸出被重新導向到受保護的檔案，且使用者明確要求。 - 優先使用
infisical run -- <command>而非寫入.env。僅在目標工具無法接受程序環境變數時使用檔案，並設定0600權限。 - 對於自託管實例，請在每個指令中傳遞
--domain，或匯出INFISICAL_API_URL/INFISICAL_DOMAIN。 - 對於機器身份，將 Token 捕捉到
INFISICAL_TOKEN中；不要直接在指令字串中傳遞 Token，或將其儲存在追蹤的檔案中。 - 將刪除操作視為高風險。確認意圖、驗證鍵名和環境，如果已安裝的 CLI 刪除路徑已知有問題，則優先使用 UI/API 刪除。
相關技能
搭配使用： /tailscale、/dev-box、/deploy-checklist