proton-pass

Proton Pass CLI 是 Proton 旗下端到端加密密码管理器的命令行界面工具，专为开发者和运维人员设计，提供全面的凭证与秘密管理功能。该 Skill 作为纯文档型指南，详细阐述了如何通过 CLI 管理保险库（Vault）、各类项目（登录凭证、SSH 密钥、邮箱别名、笔记等）、执行秘密注入以及集成 SSH Agent。

核心用法涵盖几大场景：首先是保险库与项目的全生命周期管理，包括创建、更新、删除、共享及成员权限管理；其次是 SSH 密钥的生成、导入与 Agent 集成，支持 Ed25519 和 RSA 格式，可直接替代本地 SSH 密钥存储；第三是强大的秘密注入功能，通过 pass-cli run 命令将环境变量中的 pass:// URI 引用替换为实际秘密值后执行命令，或使用 inject 命令处理模板文件，实现配置管理自动化；此外还支持 TOTP 代码生成、密码强度分析与生成、以及通过 Pass URI 语法（pass://vault/item/field）程序化访问秘密。

显著优点包括：端到端加密确保数据主权，支持零知识架构；灵活的密钥存储选项（系统 keyring、文件系统、环境变量），适应从个人电脑到 CI/CD 管道的各种环境；无缝的 SSH 工作流集成，可充当 SSH Agent 或向现有 Agent 加载密钥；秘密注入功能使应用程序无需修改即可安全获取凭证，避免敏感信息硬编码；完善的团队协作机制，支持基于角色的保险库共享（Viewer/Editor/Manager）。

潜在局限性不容忽视：目前处于 Beta 状态，API 和命令行接口可能存在变动；部分功能受限，如无法通过 CLI 更新 TOTP 或时间字段；T3 来源意味着该文档由社区维护，非 Proton 官方直接发布，可能存在信息滞后；Docker 等容器环境必须使用文件系统密钥存储（安全性低于系统 keyring）；对初学者而言，命令行学习曲线较陡。

该 Skill 特别适合 DevOps 工程师、后端开发者、系统管理员以及需要在 CI/CD 流程中安全注入秘密的自动化团队。对于已使用 Proton Pass 的 CLI 重度用户，这是提升工作效率的必备参考。

使用风险方面，除 Beta 软件固有的稳定性风险外，需特别注意密钥存储方式的选择：默认的系统 keyring 最安全，但 Docker 环境必须使用 PROTON_PASS_KEY_PROVIDER=fs，此时密钥与加密数据并列存储，需确保容器环境安全；文档中的安装命令使用 curl|bash 模式，尽管指向 proton.me 域名，用户仍需验证下载源真实性以防供应链攻击；此外，错误的权限配置（如过度共享保险库）可能导致敏感凭证泄露，建议遵循最小权限原则并定期审计成员访问。

Proton Pass CLI 综合评估

核心用法

Proton Pass CLI 是瑞士隐私科技公司 Proton 推出的官方命令行密码管理工具，提供完整的端到端加密密码库操作能力。核心功能覆盖六大模块：

1. Vault 与 Item 管理：支持创建、读取、更新、删除（CRUD）操作，涵盖登录项、SSH 密钥、邮箱别名、安全笔记等类型。支持通过 Share ID 或名称双模式定位资源，兼容 JSON 输出便于脚本集成。

2. SSH 工作流整合：可生成 Ed25519/RSA 密钥对并安全托管，支持 ssh-agent load 注入现有代理或 ssh-agent start 作为独立代理运行。v1.3.0+ 新增自动识别 ssh-add 导入的密钥并持久化到 Pass，解决开发机密钥分散管理的痛点。

3. 密钥注入系统：pass-cli run 命令通过环境变量注入机制，扫描 pass://vault/item/field URI 格式的引用并实时解析，配合自动脱敏输出保护敏感信息；pass-cli inject 则支持 Handlebars 模板语法批量替换配置文件中的密钥占位符。

4. 团队协作：细粒度权限体系（Viewer/Editor/Manager/Owner），支持 Vault 级与 Item 级共享，内置成员角色管理与所有权转移流程。

5. 密码工程工具：内置熵值评估算法（password score）与可定制策略的密码/口令短语生成器，支持长度、字符集、分隔符等参数调整。

6. 认证灵活性：推荐 Web 登录流支持 SSO/U2F，交互式登录支持 TOTP，并预留环境变量与文件挂载方式供 CI/CD 场景自动化使用。

显著优点

• 零知识架构：Proton 作为瑞士公司受瑞士联邦数据保护法约束，服务端仅存储加密数据，密钥由用户设备端生成与掌控，符合 GDPR 合规要求。
• 多场景密钥存储：支持系统 Keyring（macOS Keychain/Linux kernel keyring/Windows Credential Manager）、文件系统及环境变量三种密钥托管模式，容器与裸机环境均可安全运行。
• 开发者友好：URI 引用语法（pass://）与 Unix 哲学深度契合，管道兼容、退出码规范、stderr 分离日志，易于嵌入 Shell/Python/Go 等自动化流水线。
• 持续迭代：Beta 阶段即支持自动更新轨道切换，功能演进响应社区需求（如 SSH 自动识别）。

局限性与注意事项

• CLI 功能边界：Item Update 操作暂不支持 TOTP 与时间字段修改，需回退至 GUI 客户端；信用卡、身份类 Item 的创建未在 CLI 暴露，覆盖类型较 GUI 有限。
• 容器环境妥协：Docker 场景强制使用 Filesystem 密钥存储（PROTON_PASS_KEY_PROVIDER=fs），虽加密但仍属降级方案，需额外保障容器运行时安全。
• 名称解析歧义：Vault/Item 名称匹配区分大小写且返回首个命中结果，建议生产脚本优先使用 Share ID 与 Item ID 确保确定性。
• Beta 稳定性：官方明确标注 Beta 状态，API 行为与命令语法存在后续调整风险，关键基础设施建议等待 GA 版本。

适合人群

• 隐私敏感型开发者：需将 SSH 密钥、API Token、数据库凭证集中托管且拒绝云厂商锁定。
• DevOps/SRE 工程师：寻求 Vault/1Password 的开源替代方案，用于 Kubernetes Secret 注入、CI/CD 密钥分发。
• 远程团队：跨时区协作需安全共享基础设施凭证，且要求审计日志与精细化权限控制。
• 合规驱动型企业：受瑞士/欧盟数据主权法规约束，需避免美国 CLOUD Act 长臂管辖的云密码服务。

常规风险

• 会话泄露：CLI 会话目录（~/.local/share/proton-pass-cli）若被恶意进程读取，可导致 Vault 解密权限失窃；共享系统务必执行 logout --force。
• URI 注入误用：pass-cli run 的 --no-masking 标志或重定向至日志文件可能导致敏感值持久化于明文存储。
• 密钥恢复单点故障：若用户遗忘 Proton 账户密码且未配置恢复邮箱/密钥，加密数据永久不可恢复（零知识架构的双刃剑）。
• 供应链风险：curl 管道安装脚本虽便利，但建议校验 SHA256 或通过 Homebrew 等带签名渠道获取二进制。