QWQ 本地密码库

在 AI Agent 的日常开发中，代理经常需要处理各种凭据，但密码、Token 或私钥一旦出现在 Markdown、源代码、Git 提交记录或聊天输出中，风险会迅速放大。@xyingsoft/qwq-local-password-vault 解决的不是“多设备同步”，而是一个更具体的本地问题：让 Agent 在 Windows 环境中安全地写入、读取和轮换凭据，同时避免把明文秘密带进开发者常用的上下文。

工作原理

技能的存储根目录就是安装目录，其中的 secrets\ 与 scripts\ 并列。底层依赖 Windows DPAPI，并通过 PowerShell 的 Export-Clixml 和 SecureString 保存凭据；导出的 *.credential.clixml 不能上传或打包，因为其解密结果与当前 Windows 用户和机器绑定。

• 保存：脚本通过 Read-Host -AsSecureString 接收秘密，不直接处理明文字符串。若条目已存在，需要 -Force 并确认覆盖。写入采用临时文件，成功后原子替换，降低进程中断导致凭据文件损坏的概率。
• 元数据查看：列出条目的名称、URL、用户名、备注和时间戳，用于检索和审计；这一过程不解密、不打印秘密值。
• 复制或显示：默认优先复制到剪贴板，避免秘密出现在输出里。若内容未变化，剪贴板会在 30 秒后清空，也可用 -ClearClipboardAfterSeconds 调整；-CopySecret 与 -RevealSecret 互斥，只有在用户明确要求时才显示秘密。
• 轮换与删除：轮换可在保留元数据的前提下更新秘密；删除需要确认。改名、轮换元数据或删除条目后，仍需手动维护非秘密清单，但清单里不能放秘密值。

适用边界

这个技能适合单人开发机上的本地凭据管理，不能替代团队密码管理器。CLIXML 加密强绑定当前 Windows 用户和设备，跨机器迁移或团队共享时应改用 KeePassXC、Bitwarden、1Password 或组织管理的密码库。