Nex Keyring

本地 API 密钥与密钥轮换状态追踪工具。在一个统一界面中监控和管理所有 API 密钥、Webhook 凭据及其他敏感凭证。跟踪轮换状态、识别陈旧密钥，并强制执行安全策略。所有数据均安全地保存在您的本地设备上。

适用场景

当用户提出以下问题时，可使用本技能：

• API 密钥、密钥（secrets）、令牌（tokens）或凭据（credentials）
• 密钥轮换、轮换状态或轮换策略
• 哪些 API 密钥近期未执行轮换
• 陈旧或已超期的凭据
• 追踪来自特定服务的 API 密钥（如 OpenAI、Cloudflare、Firebase 等）
• 扫描 .env 文件中的密钥
• 从环境变量文件导入密钥
• 安全审计或凭据管理
• 凭据过期时间或轮换历史记录
• 监控 Webhook 或数据库密钥
• 密码（password）、wachtwoord（荷兰语“密钥”）、sleutel（荷兰语“密钥”）
• API 安全性或密钥管理

触发关键词示例：“API key”、“secret rotation”、“which keys need rotation”、“stale credentials”、“.env file”、“rotate key”、“track secrets”、“credential management”、“security audit”、“API token”、“webhook”、“database password”、“rotation status”、“scan environment”

快速启动

若数据库尚不存在，请运行初始化脚本：

bash setup.sh

该命令将创建数据目录（~/.nex-keyring），初始化数据库，并验证依赖项是否就绪。

可用命令

CLI 工具名为 nex-keyring，所有命令输出均为纯文本格式。

添加密钥

注册一条新的 API 密钥或密钥：

nex-keyring add --name "OpenAI API Key" --service openai --category API --env-var OPENAI_API_KEY --rotation 90
nex-keyring add --name "Cloudflare Token" --service cloudflare --description "Production API token" --rotation 180
nex-keyring add --name "Database Password" --service postgresql --category DATABASE --used-in "production app"

选项说明：

• --name（必填）：密钥名称（必须唯一）
• --service：服务名称（例如：openai、cloudflare、firebase）
• --category：类别，可选值包括 API、DATABASE、SSH、OAUTH、WEBHOOK、SMTP、DNS、HOSTING、AI、PAYMENT、OTHER
• --env-var：待追踪的环境变量名（例如：OPENAI_API_KEY）
• --rotation：轮换策略（单位：天），默认为 90 天，或采用对应服务的预设值
• --description：人类可读的描述信息
• --tags：以英文逗号分隔的标签，用于组织归类
• --used-in：使用该密钥的项目或脚本名称

列出密钥

显示所有已追踪的密钥：

nex-keyring list
nex-keyring list --service openai
nex-keyring list --category API
nex-keyring list --category DATABASE

查看密钥详情

显示详细信息（**绝不显示实际密钥值**）：

nex-keyring show "OpenAI API Key"
nex-keyring show "Cloudflare Token"

返回内容包括：

• 所属服务及类别
• 创建时间与最近一次轮换时间
• 轮换策略及距上次轮换的天数
• 风险等级（FRESH、OK、STALE、CRITICAL）
• 环境变量追踪状态
• 使用上下文（used-in）

检查轮换状态

检查哪些密钥需要轮换：

nex-keyring check
nex-keyring check --service openai
nex-keyring check --all

报告超期与陈旧密钥，包含：

• 距上次轮换的天数
• 风险等级评估
• 轮换建议

标记为已轮换

记录一次轮换事件：

nex-keyring rotate "OpenAI API Key"
nex-keyring rotate "OpenAI API Key" --hash abc123def456... --notes "Routine rotation"

若未提供哈希值，工具将提示输入新密钥哈希。该哈希仅用于检测密钥变更，**不存储原始密钥值**。

扫描环境

扫描 .env 文件或当前环境变量中的 API 密钥：

nex-keyring scan --env-file .env
nex-keyring scan --env-file /path/to/.env.production
nex-keyring scan --environment

支持识别：

• 常见服务命名模式（如 OPENAI_、CF_、FIREBASE_ 等）
• 对应环境变量是否已设置
• 可用于追踪的密钥名称

从 .env 导入密钥

自动为 .env 文件中所有密钥创建追踪条目：

nex-keyring import .env
nex-keyring import .env.production --auto-register

将根据自动识别的服务类型，为每个检测到的密钥配置合适的轮换策略并完成注册。

查看陈旧/超期密钥

列出所有需重点关注的密钥：

nex-keyring stale

返回内容包括：

• 陈旧密钥（距上次轮换 >90 天）
• 超期密钥（已超出其轮换策略设定周期）
• 距上次轮换的天数
• 风险等级

查看轮换历史

查询某条密钥的完整轮换历史：

nex-keyring history "OpenAI API Key"
nex-keyring history "Cloudflare Token"

返回内容包括：

• 全部轮换事件及其发生时间
• 轮换执行者（手动 / 自动）
• 轮换备注（notes）

导出密钥注册表

导出密钥元数据（**绝不导出实际密钥值**）：

nex-keyring export --format json
nex-keyring export --format csv --output registry.csv
nex-keyring export --format markdown --output registry.md

支持格式：JSON、CSV、Markdown（仅含元数据，不含任何敏感值）

查看审计日志

显示对所有已追踪密钥执行过的全部操作：

nex-keyring audit
nex-keyring audit --limit 100
nex-keyring audit --secret "OpenAI API Key"

记录内容包括：

• 所有密钥访问行为
• 轮换事件
• 创建与删除操作
• 修改操作

统计信息

密钥追踪概况总览：

nex-keyring stats

返回内容包括：

• 已追踪密钥总数
• 陈旧与超期密钥数量
• 按类别（category）与服务（service）的分布统计

配置查看

显示系统当前配置：

nex-keyring config

返回内容包括：

• 数据存储路径
• 加密方式
• 默认轮换策略
• 服务预设值（service presets）

数据安全

• 不存储密钥明文：从不保存实际 API 密钥值，仅保存哈希用于变更检测
• 纯本地运行：所有数据均存于 ~/.nex-keyring，绝不会外传
• 加密保护：默认使用 Fernet 加密（推荐）；若系统未安装 cryptography 库，则降级为 base64 混淆
• 完整审计日志：记录所有密钥访问与修改操作
• 安全导出：导出内容仅为元数据，不含任何敏感值

服务预设策略

主流服务的默认轮换周期：

• Cloudflare：180 天
• OpenAI：90 天
• Resend：90 天
• Firebase：180 天
• GitHub：90 天
• TransIP：365 天
• DashScope/Qwen：90 天
• Stripe：90 天
• Telegram：365 天

每条密钥均可单独覆盖预设策略，自定义轮换周期。

风险等级

依据距上次轮换的天数评估密钥风险等级：

• FRESH：< 30 天（绿色状态）
• OK：30–90 天（正常）
• STALE：90–180 天（警告）
• CRITICAL：> 180 天（需立即处理）

使用示例

场景：接入新 API 密钥

# 扫描 .env 文件
nex-keyring scan --env-file .env

# 导入所有检测到的密钥
nex-keyring import .env

# 查看已添加内容
nex-keyring list

# 检查当前轮换状态
nex-keyring check

场景：识别超期密钥

# 列出所有陈旧与超期密钥
nex-keyring stale

# 检查特定服务（如 Stripe）
nex-keyring check --service stripe

场景：执行密钥轮换

# 查看当前密钥详情
nex-keyring show "OpenAI API Key"

# 在 OpenAI 控制台完成密钥轮换后：
nex-keyring rotate "OpenAI API Key" --notes "Monthly rotation"

# 验证轮换记录是否已写入
nex-keyring history "OpenAI API Key"

场景：导出用于安全审计

# 导出元数据供安全审查
nex-keyring export --format csv --output audit_$(date +%Y%m%d).csv

# 查看合规所需的轮换历史（限制最多 200 条）
nex-keyring audit --limit 200

依赖项

• Python 3.8+
• SQLite3（Python 内置）
• 可选：cryptography（用于 Fernet 加密，强烈推荐）

安装 cryptography 以启用更强加密：

pip install cryptography

若未安装该库，系统将退化为 base64 混淆（**不建议用于生产环境**）。

由 Nex AI 构建 | MIT-0 许可协议