凭证保险箱管家

问题背景：配置里藏着不该有的密钥

在 Skill/连接器配置中，开发者常把 API Key、Token、数据库密码直接写进 JSON/YAML，或长期不轮换。这些硬编码凭证一旦提交或泄露，后果严重。

工作方式：只读扫描 + 风险分级 + 建议

核心能力是 F1 扫描配置：只读扫描各 Skill/连接器配置，找出硬编码密钥、明文凭证、该轮换的项。F2 风险评估：按高风险（明文密钥）、中风险（长期未换）、低风险（可优化）分级。F3 建议：给出改用环境变量、隔离目录、轮换周期等安全存储建议，但不自动改。F4 清单：输出凭证安全清单（位置、风险、建议动作）。

触发场景：用户说“凭证保险箱”“密钥检查”“硬编码扫描”“凭证安全”“密钥管理”“轮换提醒”“不硬编码检查”“安全存储建议”时启用。

适用边界与注意点

红线：只读不擅改；不输出凭证明文值；只建议不改配置；异常即停。因此该技能是审计助手，不是自动修复工具。它不负责生成凭证、不执行轮换、不修改任何配置。扫描结果只给建议，由你决定后续操作。