核心功能
bw-cli 是 Bitwarden 官方提供的命令行密码管理工具，覆盖身份认证、密码库操作、安全共享及组织管理四大场景。支持交互式登录、API Key、SSO 等多种认证方式；提供完整的 CRUD 操作（增删改查文件夹、登录项、信用卡、身份证、SSH 密钥等）；内置密码/短语生成器与加密导出功能；支持 Send 临时安全分享及多用户组织协作。
显著优点
- 完整生态：官方维护，与 Bitwarden/Vaultwarden 服务端 100% 兼容，支持自托管部署
- 自动化友好：支持 JSON 管道操作、模板系统、Base64 编码，便于脚本集成
- 安全机制完善：支持 2FA/TOTP、会话密钥隔离、密码泄露检测、设备审批流程
- 灵活部署：原生二进制、npm、Snap、Chocolatey 多平台分发
潜在局限
- 学习曲线：JSON/JQ 操作对非技术用户门槛较高
- 本地缓存风险：登录后本地存储加密 vault 副本，需配合
bw lock管理会话 - 依赖网络：多数操作前需执行
bw sync，离线场景受限
适合人群
- 开发者/DevOps 工程师（CI/CD 凭据注入、自动化脚本）
- 安全运维人员（批量密码轮换、合规导出审计）
- 高级个人用户（偏好终端工作流、自托管 Vaultwarden）
常规风险
| 风险点 | 缓解措施 |
|--------|----------|
| 主密码泄露 | 使用 `--apikey` 替代交互式登录，结合 `.secrets` 文件（mode 600） |
| 会话密钥暴露 | 禁止日志记录 `BW_SESSION`，使用 `bw lock` 及时锁定 |
| 误删不可恢复 | 删除默认进回收站（30 天），`--permanent` 需二次确认 |
| 自签名证书报错 | 配置 `NODE_EXTRA_CA_CERTS` 环境变量 |