Vault Transit 信封加密验证器

要解决的具体问题

应用接入 HashiCorp Vault Transit 引擎之后，真正出问题的往往不是「有没有用 Vault」，而是加密链路是否按信封加密的方式工作。常见风险包括：代码虽然调用了 /encrypt、/decrypt，但密钥路径或 key version 传错；轮换时绕过了 /rewrap，导致旧密文无法解密；或者配置里声明了库，实际运行时密钥仍在明文流转。审查者如果只看依赖清单或文档，很难确认密钥的加解密确实发生在 Transit 端点上。

技能如何工作

该技能面向 agent 审查场景，用来实际验证加密工作流，而不是假设库配置好就安全。核心能力：

• 验证 /encrypt、/decrypt、/rewrap 端点工作流的调用是否完整、参数是否合理
• 检查信封加密是否真正被使用，确认密钥由 Transit 管理而非本地硬编码
• 检查密钥元数据，确认 key 的版本、类型与状态符合轮换预期
• 覆盖 /rewrap 轮换路径，验证现有密文能否被正确重新包裹

关键步骤：扫描应用的密钥处理代码与配置，定位所有加解密调用点；对照 Transit 端点确认信封加密层次；审查密钥元数据与轮换流程，标记任何偏离正确加密模型的位置。

适用边界与注意点

该技能是验证工具，用于确认工作流是否正确，不负责 Vault 自身的部署与高可用配置。它面向自动化审查场景，验证结论依赖于代码与配置的可见性；动态生成的密钥、运行时注入的凭据可能超出检查范围。上游测试需要 Docker 环境。