本地密码库

背景：普通用户面对的密码困局

密码管理在日常计算中是个被低估的问题。多数非技术用户要么所有站点共用同一个弱口令，要么把密码明文记在手机备忘录或纸条上。一旦某个小站点数据泄露，撞库攻击可能在几小时内清空其他平台的账号。另一种常见选择是大型云密码管理器，但这意味着将凭据的机密性完全交给第三方。

本技能提供一种本地优先（Local-First）的工程方案：不依赖任何云服务，无需注册账号，凭据全部存放在本机的加密文件中，主密码只在用户脑中。

核心实现与工作流

技能的核心逻辑封装在内置的 vault.py 脚本中，依赖 cryptography 库（首次运行自动安装，无任何网络请求）。

• 强密码生成：支持配置长度、字符种类，并能自动排除 0/O、1/l 等易混淆字符。
• Passphrase 生成：通过随机词组组合（如 apple-river-92-clock）生成人类易记且机器难破的密码。
• 强度评估：检查长度、字符熵值、是否为常见弱口令或字典词。
• 本地加密保险箱：凭据存储于 ~/.local_vault/vault.enc。加密采用 PBKDF2-HMAC-SHA256（20 万次迭代）派生密钥，并使用 Fernet 对称加密落盘。主密码绝不落盘或写入日志。

适用边界与安全红线

此工具并非企业级 KMS 或需要多端云同步的商业方案，它的目标是个人单机凭据管理。请特别注意以下红线：

1. 主密码唯一性：主密码是解密的唯一凭证，丢失后无法找回，技能无法提供任何形式的重置。
2. 文件备份：vault.enc 是本地存储，硬件损坏会导致数据丢失，需定期导出并妥善保管备份。
3. 环境依赖：若运行环境无法安装 cryptography 库，加密保险箱功能将不可用，但生成与检查功能可离线运行。
4. 零回显原则：所有密码输入通过 getpass 处理，明文密码与主密码严禁出现在对话或日志中。