Bitwarden Vault CLI

核心用法

Bitwarden CLI (bw) 是官方提供的命令行密码管理工具，用于程序化读取密码库中的凭据、安全笔记和 TOTP 等敏感数据。

标准工作流（强制要求）：
1. 在专用 tmux 会话中运行所有命令（tmux new-session -d -s bw-session）
2. 身份验证：bw login（邮箱/密码）、bw login --apikey（自动化场景）或 bw login --sso（企业账户）
3. 解锁并导出会话密钥：export BW_SESSION=$(bw unlock --raw)
4. 执行查询：bw get password <item>、bw list items --search <keyword>
5. 完成后锁定：bw lock

关键安全机制：BW_SESSION 环境变量是解密密码库的唯一凭证，不持久化且不会跨终端继承，tmux 会话确保密钥在操作期间可用。

显著优点

• 官方出品：Bitwarden 官方维护，代码开源，安全审计透明
• 多认证方式：支持交互式登录、API 密钥（适合 CI/CD）、SSO 企业集成
• 完整功能：密码、用户名、TOTP、自定义字段、附件全支持
• 自托管兼容：可通过 bw config server 切换至 Vaultwarden 等私有实例
• 管道友好：输出可直接通过 jq 处理，便于脚本集成

潜在局限

• 会话管理复杂：BW_SESSION 不自动持久化，必须依赖 tmux 或手动导出
• 无内置缓存：每次启动需重新解锁，不适合高频瞬时调用
• npm 依赖：部分安装渠道依赖 Node.js 生态
• 企业功能限制：SSO 和无密码登录需付费组织账户

适合人群

• 开发者需要在脚本/部署流程中安全注入密钥
• 运维工程师管理服务器凭据和证书
• 安全-conscious 用户偏好命令行工具且已使用 Bitwarden 生态

常规风险

• 会话密钥泄露：BW_SESSION 若被导出到日志或子进程，可导致未授权访问
• 屏幕抓取：tmux 会话内容可能被其他用户读取（共享服务器场景）
• 残留进程：未正确 bw lock 或关闭 tmux 会话可能延长暴露窗口
• 脚本硬编码：误将 BW_CLIENTSECRET 写入脚本文件造成凭证泄露

核心用法

Bitwarden CLI Skill 是对官方命令行工具的完整使用指南，涵盖安装验证、多方式认证（邮箱密码/API Key/SSO）、会话密钥管理、密钥读取及自托管配置。核心工作流要求始终在 tmux 会话中操作，通过 bw login/unlock 获取 BW_SESSION 环境变量后，方可执行 bw get/list 等 vault 操作。

显著优点

• 纯文档零风险：无可执行代码，仅提供官方推荐的安全操作指引
• 企业级安全基底：依托 Bitwarden 这一开源密码管理行业标准，端到端加密
• 灵活认证体系：支持交互式、自动化脚本、SSO 三种场景
• 自托管兼容：内置 Vaultwarden 等私有服务器配置指南
• 会话隔离设计：强制 tmux 工作流减少密钥泄露面

潜在局限

• 外部工具依赖：需自行安装 bw CLI，存在供应链验证责任
• 环境变量敏感：BW_SESSION 等变量需严格隔离，多终端同步繁琐
• 非官方维护：社区封装项目，非 Bitwarden 官方直接背书
• 无持久化机制：会话密钥不跨窗口保留，脚本自动化需额外处理

适合人群

DevOps 工程师、安全运维人员、需要 CI/CD 流水线注入密钥的开发者，以及习惯命令行操作的高级用户。不适合寻求图形界面或零配置开箱体验的普通消费者。

常规风险

1. 环境变量侧漏：多进程共享终端时可能暴露 BW_SESSION
2. CLI 来源污染：非官方渠道安装的 bw 二进制可能植入恶意代码
3. 会话窗口过长：未执行 bw lock 导致密钥长时间驻留内存
4. 日志回显泄露：错误地将 bw get password 输出重定向到持久化日志