核心用法
bw-cli 是 Bitwarden 官方命令行工具的安全封装层，提供完整的密码保险箱管理能力。技能采用"封装而非替代"的设计理念，所有核心密码操作均通过调用官方 bw CLI 完成，本身不直接处理加密逻辑或网络通信。
认证流程采用双因素模型：先 login 建立身份认证，再 unlock 解密本地保险箱并生成会话密钥。技能强制要求在每次保险箱访问前执行 bw sync，确保本地缓存与云端数据一致，避免多设备场景下的数据陈旧问题。
核心功能覆盖六大场景：凭证检索（密码/TOTP/用户名/附件）、保险箱管理（增删改查/文件夹/组织）、密码生成（随机字符/多词口令）、会话安全（锁定/解锁/状态检查）、自动化支持（API 密钥登录/环境变量注入）、以及自托管配置（Vaultwarden 兼容）。
技能特别设计了安全脚本模板：unlock-session.sh 实现带权限检查的交互式解锁，safe-get-field.sh 提供字段级安全检索，create-login-item.sh 支持带验证的凭证创建流程。
显著优点
架构安全透明：零外部依赖设计，不引入任何第三方密码学库，完全依赖 Bitwarden 官方 CLI 的成熟实现。所有网络通信（TLS 1.3）由 bw 工具直接处理，本技能仅作为命令编排层。
安全防护措施完备：内置多重确认机制——永久删除、退出登录、非工作区导出等高危操作强制要求用户确认；敏感输出自动使用 --quiet 隐藏；.secrets 文件强制 600 权限并自动加入 .gitignore；BW_SESSION 等敏感变量从日志中自动脱敏。
自动化友好：同时支持交互式登录（邮箱/密码/SSO）和非交互式认证（API 密钥、环境变量注入），满足 CI/CD 流水线和本地开发的双重需求。
自托管生态兼容：原生支持 Vaultwarden 等自托管方案，通过 bw config server 灵活切换端点，适配企业内网部署场景。
潜在缺点与局限性
环境前置依赖严格：要求目标系统预装 bw CLI 且版本兼容，未提供自动安装能力。Windows 环境需额外配置 WSL 或 Git Bash，原生 PowerShell 支持有限。
会话管理复杂度：BW_SESSION 环境变量的作用域限制（终端级）与有效期机制，在多窗口开发或长时间任务中需要频繁的重新解锁操作。当前未实现会话续期或自动重认证功能。
批量操作性能瓶颈：基于 CLI 调用模式，大规模保险箱操作（如全量导出、组织级迁移）会产生显著的进程启动开销，不适合超大规模企业场景。
TOTP 生成时效敏感：bw get totp 返回的 2FA 码存在 30 秒有效期窗口，自动化脚本需自行处理时钟同步和重试逻辑，技能未内建容错机制。
适合的目标群体
- DevOps/SRE 工程师：需要在 CI/CD 流水线中安全注入数据库密码、API 密钥等凭证
- 全栈开发者：管理大量云服务账号、测试环境凭据，追求终端工作流的效率
- 安全管理员：审计团队密码实践，执行组织级保险箱管理和成员确认
- 自托管用户：运行 Vaultwarden 的个人或小型团队，需要灵活的服务器配置能力
不适合普通终端用户的日常浏览器密码管理（应使用官方插件），也不适合完全离线或 air-gapped 环境（需网络连接完成同步）。
使用风险
凭证泄露风险（中）：尽管实现多层防护，处理主密码和会话密钥的本质决定了任何代码缺陷都可能导致严重泄露。建议严格限制 .secrets 文件的访问权限，避免在共享开发环境使用自动化登录。
数据一致性风险（低-中）：依赖 bw sync 前置调用保证数据新鲜度，若用户绕过技能直接调用 bw 命令或脚本逻辑异常跳过同步，可能操作陈旧数据。建议关键业务操作前增加 bw status 校验。
会话劫持风险（低）：BW_SESSION 以环境变量形式暴露，同一终端的其他进程可读取。建议在多用户系统或容器环境中谨慎使用，操作完成后立即执行 bw lock。
合规审计挑战（中）：技能支持导出加密保险箱和附件，但导出操作本身缺乏详细的审计日志记录。企业环境需额外配置 SIEM 集成以追踪 bw export 调用。
依赖项维护风险（低）：Bitwarden CLI 的版本演进可能引入破坏性变更，建议锁定 bw 版本并在升级前验证技能兼容性。