Bitwarden

核心用法

rbw 是 Bitwarden 的非官方 Rust 实现 CLI 工具，本 Skill 通过封装 rbw 命令实现密码库的查询、添加、同步等操作。主要流程：

1. 首次配置：设置邮箱、可选自定义 Vault 地址（支持自托管 Vaultwarden），执行 rbw login 完成主密码+2FA 认证
2. 解锁会话：rbw unlock 将主密码解密后的会话密钥缓存到本地 agent，避免重复输入
3. 日常操作：rbw list/get/search/add/sync 管理密码项，支持 JSON 格式导出完整字段

显著优点

• 安全性强：端到端加密，服务端仅存储密文；主密码从未离开本地；会话密钥采用内存安全缓存
• 自托管友好：原生支持 Vaultwarden，数据主权完全可控
• 开源透明：rbw 及本 Skill 均为开源，可审计
• 无浏览器依赖：纯 CLI 工作流，适合服务器/SSH 环境

潜在缺点与局限

• 交互复杂性：解锁/添加时可能触发 pinentry 密码输入对话框，无图形环境需配置 pinentry-curses
• 会话管理：缓存的会话密钥若被窃取可导致库解密（虽有时效限制）
• 功能边界：相比官方客户端，缺少生物识别、安全笔记附件管理等功能
• 社区维护：非 Bitwarden 官方项目，更新节奏依赖社区

适合人群

• 技术用户、开发者、DevOps 工程师
• 需要服务器/无图形环境密码管理的场景
• 重视数据主权、倾向自托管 Vaultwarden 的隐私敏感用户

常规风险

| 风险点 | 说明 | 缓解建议 |

|--------|------|----------|

| 会话密钥泄露 | 解锁后密钥驻留内存/代理，进程被 dump 可能暴露 | 及时 `rbw lock`，缩短会话超时 |

| 主密码输入截获 | pinentry 环节存在按键记录风险 | 确保终端环境可信，优先使用 TTY |

| 配置凭证残留 | `rbw config` 存储邮箱、URL 等元数据 | 文件权限 600，全盘加密 |

| 自托管实例安全 | Vaultwarden 配置不当导致服务端漏洞 | 及时更新、HTTPS 强制、访问控制 |

核心用法

Bitwarden Skill 是一个纯文档型工具技能，用于指导用户通过 rbw CLI 与 Bitwarden 或 Vaultwarden 密码库交互。核心流程包括：初始化配置（设置邮箱和服务器地址）、登录解锁（支持主密码+2FA）、日常操作（list/get/search/add/sync）等。

显著优点

1. 零代码执行风险：纯 Markdown 文档，无可执行代码，Skill 本身不触碰任何密码数据
2. 自托管友好：原生支持 Vaultwarden 自建实例，baseurl 可自定义
3. 安全架构清晰：实际密码操作完全委托给本地 rbw 工具，遵循"最小权限"原则
4. 完全透明：所有内容均为教育性 bash 示例，可人工审计

潜在缺点与局限性

1. 依赖外部工具：必须预先安装 rbw CLI，且其安全性直接影响使用安全
2. 交互式输入复杂：解锁时可能需要 pinentry/tmux 配合，对纯自动化场景不够友好
3. 功能边界有限：仅提供命令参考，无自动同步、冲突解决等高级功能封装
4. T3 来源可信度：个人开发者维护，无组织背书，长期维护稳定性待观察

适合人群

• 已使用或计划使用 Bitwarden/Vaultwarden 的技术用户
• 熟悉命令行操作、能自主配置 rbw 环境的开发者
• 对密码管理有自托管需求、重视数据主权的用户
• 需要快速查阅 rbw 命令参考而非自动化封装的用户

常规风险

• 上游工具风险：rbw 本身若存在漏洞将影响密码安全，需关注 https://github.com/doy/rbw 安全公告
• 配置泄露风险：rbw config 存储的邮箱和服务器信息若权限不当可能被读取
• 会话管理风险：rbw unlock 后的缓存会话需确保运行环境可信
• 无版本锁定：Skill 不管理 rbw 版本，用户需自行保持更新

安全认证亮点

扫描获得 S 级评分（100/100），静态分析、动态行为、依赖审计、网络分析、隐私合规、威胁情报六项全满分通过，符合 GDPR 数据最小化等六项合规要求。