核心用法
secrets 是一个纯 Markdown 的深层工作流技能，旨在系统化指导用户完成密钥（Secrets）从发现到退役的全生命周期治理。它并非自动化工具，而是以结构化对话方式，引导用户穿越五个关键阶段：清单与分类（Inventory & Classification）、存储与访问模型（Storage & Access Model）、生命周期与轮换（Lifecycle & Rotation）、开发与 CI 人机工程（Developer & CI Ergonomics）、以及验证与持续运营（Verification & Operations）。
用户触发条件包括提及 API 密钥、硬编码凭据、Vault/KMS 集成设计、CI/CD 密钥注入需求，或审计合规场景。Agent 会主动提供完整五阶段流程或精简切片，并始终坚守不可协商底线：禁止长期有效密钥留存于代码仓库，最小化爆炸半径，确保访问可审计。
显著优点
零攻击面设计：作为纯文档型技能，无可执行代码、无外部依赖、无网络请求，彻底消除了代码注入、权限提升、数据外泄等传统安全风险。安全认证获得 S+ 顶级评级，全维度扫描满分通过。
架构级深度覆盖：超越简单工具推荐，从密钥分类学（对称/非对称、 bearer token、数据库凭证等）到组织级治理（PCI/SOC2 合规、客户 DPA 约束），再到技术实现细节（信封加密、KMS CMK、HSM 需求、K8s CSI 驱动延迟），形成完整决策框架。
实战导向的陷阱预警：针对真实生产痛点提供前置防御，例如轮换数据库密码时的连接池风暴、JWT 密钥缓存与 Key ID 轮换的兼容性、容器镜像层残留密钥等，均配有明确的缓解策略。
开发者体验与安全的平衡：通过 OIDC 云认证替代 CI 长期凭据、本地开发沙箱隔离、pre-commit 密钥扫描等设计，使"正确行为成为默认路径"，降低安全摩擦。
潜在缺点与局限性
非自动化执行能力：本技能仅提供决策指导与审查框架，无法直接调用 Vault API、执行密钥轮换或修改 AWS IAM 策略。用户仍需自行操作底层基础设施，对缺乏平台团队的组织而言实施成本较高。
云厂商中立带来的抽象性：为保持通用性，对 HashiCorp Vault、AWS Secrets Manager、GCP Secret Manager、Azure Key Vault 等具体产品的配置细节着墨有限，用户需交叉查阅官方文档。
T3 来源可信度的信任门槛：尽管纯文档特性消除了代码执行风险，但维护者为个人开发者（mike47512），缺乏企业背书。对于受严格监管的金融、医疗等行业，可能需要额外的内部安全评审。
依赖用户组织成熟度：五阶段流程假设用户具备基本的角色定义、团队边界和变更管理能力。对于早期创业团队或一人技术栈，完整流程可能显得"过重"，需要主动裁剪至"最小可行"版本。
适合的目标群体
- 安全架构师与 SRE 团队：需要设计或评审跨环境密钥治理方案，尤其关注爆炸半径控制与应急响应能力。
- DevOps / Platform 工程师：正在引入 Vault、KMS 或云原生密钥管理服务，需要迁移路径与 CI/CD 集成策略。
- 合规与审计人员：需要可验证的访问模型文档、轮换证据链和审计日志对齐方案，以满足 SOC2、PCI-DSS 等要求。
- 技术负责人与 CTO：在快速扩张期需要建立密钥管理基线，防止"每个工程师都掌握生产数据库密码"的反模式固化。
常规使用风险
性能与可用性风险：密钥获取路径（启动时拉取 vs sidecar 注入 vs CSI 驱动）直接影响服务启动延迟和密钥存储降级时的故障模式。设计阶段需明确"密钥服务不可用时应用行为"的降级策略。
依赖项间接风险：虽然本技能自身零依赖，但其实现方案通常依赖外部密钥管理服务（Vault、AWS Secrets Manager 等）。这些服务的 SLA、跨区域复制一致性、API 限流均成为生产系统的隐性依赖。
配置漂移与文档老化：密钥管理规则（如轮换周期、访问路径）易随组织扩张而碎片化。建议将本技能生成的访问模型（principals → permissions → paths）纳入版本控制，并设置定期复核机制。
误用风险：用户可能将本技能视为"合规 checkbox"而忽略实际执行。Agent 明确提示"非清单机器人"角色，但最终落地仍依赖人的判断与组织纪律。