🔐 锁锁安全箱 — SKILL.md
名称
锁锁安全箱 (SuoSuo Vault)
描述
AES-256 加密密钥保险柜 + 全链路密钥纳管体系。
从密钥存储、子Agent注入、WAL脱敏到交付门禁扫描，提供密钥安全的端到端闭环。
核心能力
- 加密保险柜: AES-256 (Fernet) 加密 JSON 存储，SHA-256 完整性校验
- 子Agent注入: 隔离 session 环境下安全注入密钥
- 泄漏扫描: 5种密钥泄漏模式自动检测（s\k-/a\rk-/A\KID/KEY=/长base64）
- 日志脱敏: WAL 事件日志递归脱敏（key名/值前缀/长字符串）
- 安全评分: 密钥安全等级 vaule_managed=1.0 ~ hardcoded=0.1
安装
前提
pip3 install cryptography
步骤
# 1. 复制文件到对应位置
cp -r vault/ ~/.openclaw/workspace/
# 2. 初始化保险柜
cd ~/.openclaw/workspace
python3 skills/suosuo/scripts/vault.py init
# 3. 设置门禁密码
python3 skills/suosuo/scripts/vault.py gate
# 4. 扫描环境变量漏保
python3 skills/suosuo/scripts/vault.py scan --auto-store
# 5. 设置主密钥
echo 'export VAULT_MASTER_KEY="your_master_key_here"' >> ~/.profile
source ~/.profile
# 6. 验证完整性
python3 skills/suosuo/scripts/vault.py validate
使用
存取凭据
# 存储
python3 vault.py store tavily TAVILY_API_KEY=your-tavily-key
# 读取
python3 vault.py get tavily TAVILY_API_KEY
# 列出所有服务
python3 vault.py list
子Agent注入
python3 vault_subagent_inject.py inject 株株
python3 vault_subagent_inject.py show-agents
交付门禁扫描
python3 secret_scanner.py my_report.md
适用场景
- 多技能/多Agent项目中的密钥统一纳管
- CI/CD 流水线的密钥安全检查
- 审计合规：密钥操作全链路可追溯
- 子Agent安全隔离环境下的密钥分发
安全原则
- 零信任: 所有凭据加密存储，不信任文件系统
- 保下限: 交付门禁最后一关拦截泄漏
- 可量化: 密钥安全等级 0.1~1.0 可评分
- 不破坏: 兼容现有 .env 文件，可逐步迁移
文件清单
skills/suosuo/scripts/vault.py — 加密保险柜引擎 (1362行)
scripts/vault_subagent_inject.py — 子Agent密钥注入 (262行)
scripts/delivery-gate/secret_scanner.py — 密钥泄漏扫描 (226行)
scripts/ammo_box.py — WAL日志脱敏 (含sanitize部分)
skills/suosuo/scripts/install.sh — 一键安装
skills/suosuo/scripts/vault_alert.sh — 异常告警
