Pass 凭据管理器

基于 pass 的标准 Unix 密码管理方案。

核心架构

~/.password-store/          # GPG 加密的密码库
├── .gpg-id                 # GPG 密钥 ID
├── .git/                   # Git 版本控制
├── llm/api-key.gpg         # LLM API Key
├── postgres/               # 数据库密码
├── qq-mail/                # 邮箱授权码
└── weixin/                 # 微信推送 ID

安全特性：

• GPG 对称加密（AES256）
• Git 私有仓库备份
• 本地存储，无云端依赖

常用命令

读取凭据

pass show <path>           # 显示完整内容
pass show -c <path>        # 复制到剪贴板 (45s 后清除)

存储凭据

pass insert <path>         # 交互式输入
pass insert -m <path>      # 多行内容 (如配置文件)
pass edit <path>           # 编辑器打开

管理

pass ls                    # 列出所有
pass find <keyword>        # 搜索
pass rm <path>             # 删除
pass mv <old> <new>        # 重命名/移动

标准路径命名

在脚本中使用

Bash

API_KEY=$(pass show llm/api-key)
DB_PASS=$(pass show postgres/stock_market-password)

Python

import subprocess

def get_credential(path: str) -> str:
    result = subprocess.run(
        ["pass", "show", path],
        capture_output=True, text=True
    )
    if result.returncode != 0:
        raise RuntimeError(f"Failed to get credential: {path}")
    return result.stdout.strip()

api_key = get_credential("llm/api-key")

初始化新环境

# 1. 安装 pass
apt install pass  # Debian/Ubuntu
brew install pass # macOS

# 2. 克隆密码库
git clone <私有仓库> ~/.password-store

# 3. 验证 GPG 密钥
gpg --list-keys

备份与恢复

备份到 Git

cd ~/.password-store
git add -A && git commit -m "Update credentials" && git push

自动备份

建议配置 cron 或 hook 在 pass insert/pass edit 后自动提交。

最佳实践

1. 路径分类 - 按服务/用途分层组织
2. 多行存储 - 复杂配置用 pass insert -m
3. 定期同步 - git pull 获取最新变更
4. 权限控制 - chmod 700 ~/.password-store
5. 禁止硬编码 - 永远不要在代码中写入明文密码

禁止事项

• ❌ 在聊天/日志/代码生成中粘贴真实密钥
• ❌ 将密码库推送到公开仓库
• ❌ 在 CI/CD 日志中打印 pass show 输出