哪些实用脚本能帮助管理密码？

wen 实用脚本 2026-06-17 2

本文目录导读：

哪些实用脚本能帮助管理密码？

跨平台的“经典”脚本工具：pass (The Standard Unix Password Manager)
针对API密钥或临时凭证的“安全注入”脚本
自动化“生成/存储/检索”的最小化脚本（用于测试环境，绝对不要用于生产环境）
重要警告：哪些“实用脚本”是绝对不能用的？
总结与建议

密码管理是一个非常敏感且重要的领域。你需要非常谨慎地处理密码管理脚本，尤其是涉及解密或明文存储密码的脚本，因为它们可能不安全。

如果你需要一个系统性的、安全的密码管理方案，强烈建议不要使用自己编写的或来源不明的、仅从命令行运行的简单脚本来管理密码，相反，使用成熟的、经过安全审计的密码管理器（如 Bitwarden、KeePassXC、1Password）是首选。

当你理解了安全风险后，以下是一些在辅助自动化密钥或凭证管理（而非直接存储你的个人登录密码）时可能用到的工具或脚本思路，它们更多是用于开发环境（如API密钥、SSH密钥密码）或系统管理。

跨平台的“经典”脚本工具：`pass` (The Standard Unix Password Manager)

原理： 这是最接近“脚本”的成熟密码管理方案，它将每个密码加密为独立的GPG文件，存储在 ~/.password-store/ 目录下，它不存储主密码,而是使用你的GPG私钥。
常用脚本/命令：
- pass generate my-site.com 20：生成一个20位随机密码。
- pass insert my-site.com：在默认编辑器中输入密码并保存。
- pass show my-site.com：解密并复制到剪贴板。
- pass git push：可以自动将密码库同步到Git仓库（推荐私有仓库）。
优点： 完全开源，使用标准加密工具（GPG），可脚本化,安全性高。
缺点： 学习曲线稍陡,依赖GPG。

针对API密钥或临时凭证的“安全注入”脚本

这类脚本不存储密码，而是帮你更安全地使用它们。核心原则是：永远不要将密码硬编码在脚本或环境变量里。

思路1：从密码管理器读取（推荐） 使用脚本来调用成熟的密码管理器（如 Bitwarden CLI 或 1Password CLI）去解密并获取凭证，这样脚本本身不包含明文密码,密码仍然安全。

示例：配合 op (1Password CLI) 或 bw (Bitwarden CLI) 的脚本

#!/bin/bash
# 从1Password获取数据库密码
export DB_PASSWORD=$(op read "op://Vault/Database/password")
# 使用该密码连接MySQL（注意：此时DB_PASSWORD在环境变量中是明文，但仅对当前进程可见）
mysql -u root -p"$DB_PASSWORD" -e "SELECT 1;"
# 使用完后，建议清空环境变量
unset DB_PASSWORD

思路2：使用 sops 加密配置文件 sops (Secrets OPerationS) 允许你用 YAML 或 JSON 文件存储密钥（例如数据库密码、API Key），然后用 GPG、AWS KMS 或 Azure Key Vault 等主流密钥管理服务加密该文件。

用法：
- 创建 secrets.yaml 文件，内容如：
```
db_password: "my-secret-password"
```
- 用 sops -e 加密文件。
- 应用启动时，通过脚本（sops -d secrets.yaml）解密并加载为环境变量，解密操作发生在内存中,文件是加密的。

自动化“生成/存储/检索”的最小化脚本（用于测试环境，绝对不要用于生产环境）

如果你只是想在本地测试或学习，可以写一个仅限本机使用的临时脚本,但请记住它不安全。

使用 openssl 加密存储的简单脚本（演示用途）

#!/bin/bash
# 存储密码（加密）
encrypt_password() {
    local name=$1
    local password=$2
    local master_password="your-master-key" # 关键风险：主密码明文写在脚本里
    echo "$password" | openssl enc -aes-256-cbc -salt -base64 -k "$master_password" > "$HOME/.pw_$name"
}
# 获取密码（解密）
get_password() {
    local name=$1
    local master_password="your-master-key" # 关键风险同上
    openssl enc -d -aes-256-cbc -salt -base64 -k "$master_password" -in "$HOME/.pw_$name" 2>/dev/null
}

使用 keyring (系统密钥环) Linux 的 secret-tool 或 macOS 的 security 命令可以让你利用操作系统自带的密钥环（Keychain）来存储密码，脚本可以直接调用系统密钥环,而不是自己存储。

Linux (libsecret)： echo -n "my-password" | secret-tool store --label='My App' server my-server

macOS (Keychain)： security add-generic-password -a "my-username" -s "my-service" -w "my-password"

重要警告：哪些“实用脚本”是绝对不能用的？

任何在脚本里写死的明文密码：password="123456"。
任何依赖Base64编码（而非加密）的密码：echo "cGFzc3dvcmQ=" | base64 -d，Base64是编码,不是加密。
任何使用简单对称加密（如弱密钥的DES）的脚本。
任何将密码存储在CSV/纯文本文件中，并通过脚本读取的脚本（除非你完全控制了文件权限且没有网络暴露风险）。

总结与建议

对于个人日常密码管理： 直接使用 Bitwarden (免费且开源) 或 1Password (付费但体验好)，它们提供了完善的 CLI 和浏览器集成,比你写的任何脚本都安全得多。
对于开发环境/服务器上的API密钥管理： 使用 pass（用GPG）或 sops（用密钥管理服务）配合脚本来进行自动化部署。
如果你一定要自己写脚本： 确保使用 系统密钥环 (secret-tool, security) 或 GPG 加密，并绝不存储主密钥在脚本里，将主密钥通过环境变量或密钥管理服务注入,或者使用硬件安全密钥。