notinferred/keypaste

解决的问题

团队和开发者需要将密码和项目机密集中存放，而在使用 AI 编码代理时，他们需要在不交出整个保险库的情况下授予代理访问凭据的权限。keypaste 通过将登录信息和环境变量存储在本地、开放的 KDBX 文件中，并增加一个批准步骤来解决这个问题，这样代理只有在您明确允许的情况下才能收到机密。

工作原理

keypaste 将一切存储在磁盘上的 KeePass 兼容 KDBX 4 文件中，无需账户，无需网络。您可以添加登录信息、生成强密码或口令短语，并使用 KeePassXC 导入或编辑同一文件。对于开发者，它定义了带有按环境值（开发、预发布、生产）的项目，并可以将这些值注入命令的环境，而无需写入磁盘。一个 MCP 桥接器连接到 AI 客户端，如 Claude：当代理请求特定机密时，您会看到一个提示，包含代理的理由以及拒绝、允许一次、允许一小时或始终允许的选项。每个请求都存储在哈希链审计日志中。

适用人群

使用 AI 编码助手并需要将 API 密钥、数据库 URL 或其他机密传递给代理，而不将其放入 .env 文件的开发者。它也适用于任何想要一个本地、开放的密码管理器，与 KeePass 兼容并可通过现有文件同步服务同步的人。

亮点

• 本地、兼容 KeePass 的保险库（KDBX 4），无需账户或网络。
• 通过 MCP 进行代理批准：拒绝、允许一次、允许 1 小时，或始终允许某个项目+配置文件。
• 仅注入运行，将机密放入命令的环境，绝不写入磁盘。
• 项目配置文件（开发、预发布、生产），生产环境自动提示。
• .env.keypaste 文件包含如 KEY=kp://project/profile/KEY 的引用，可安全提交。
• 用于 CI 的作用域、过期令牌（例如 read:acme-api/staging/*）。
• 加密共享链接，用于单个字段或条目的登录信息，具有开放限制。
• 内置密码生成器（8–256 字符）和口令短语生成器（6–32 个单词）。
• 审计日志，为每个代理请求提供哈希链。