Headless Vault CLI 综合评估
Headless Vault CLI 是一款专为远程访问本地Markdown笔记而设计的命令行工具，通过预配置的反向SSH隧道连接用户个人电脑与VPS托管服务。其核心用法围绕vaultctl命令展开，支持目录浏览（tree）、笔记检索（resolve）、元数据查询（info）、内容读取（read）以及创建（create）和追加（append）操作。
显著优点
安全架构设计突出：采用多层防护机制——SSH强制命令限制确保VPS仅能执行vaultctl而无法运行任意Shell命令；路径沙箱验证阻止目录遍历攻击；仅支持非破坏性操作（创建/追加，无删除/覆盖）；无需存储额外凭证，复用VPS现有SSH密钥。这种设计将潜在攻击面压缩至最小。
部署灵活性高：支持macOS与Linux本地机器，通过反向隧道实现"服务器主动连客户端"的反向架构，适应家庭网络NAT环境。
潜在局限
功能受限明显：不支持文件重命名、删除、移动或原地编辑，仅能追加到文件末尾；需用户完成复杂的一次性本地配置（SSH authorized_keys配置、隧道维护）；依赖本地机器在线状态，无离线同步能力；路径含空格时需手动Base64编码，交互体验欠佳。
适合人群
技术背景较强的个人知识管理用户，尤其是已使用Obsidian等本地优先笔记软件、需要远程补充记录但不愿将完整笔记库上传云端的人群。不适合追求零配置体验或需要完整文件管理功能的普通用户。
常规风险
- 隧道中断风险：本地网络波动或SSH隧道崩溃将导致服务不可用
- 配置错误风险：authorized_keys配置不当可能意外开放Shell访问权限
- 数据一致性风险：无并发控制，多端同时写入可能造成内容冲突
- 版本依赖风险：本地
vaultctl与远程调用协议需保持兼容