dotenv 保护
阻止 AI 代理读取 .env 文件
.env 很方便，但也很容易被代理读取。Automic Vault 将值移入受保护的本地存储，只交给已批准的命令。
01 · dotenv 保护
前后对比
以前 API 密钥和部署令牌写在 .env 中，普通文件检查就可能暴露它们。之后仓库只保留非密钥默认值，用 av save 保存敏感值，并用 av inject 交给需要它的进程。
02 · dotenv 保护
命令示例
运行 av save STRIPE_SECRET_KEY，从 .env 删除该行，然后用 av inject -- npm test 或已批准脚本启动。
03 · dotenv 保护
运维说明
不要只要求代理不要读取文件。应移除可读密钥路径，避免日志、摘要和补丁捕获原始值。
04 · dotenv 保护
本地运行边界
Automic Vault 将代理可读取的文件与只提供给已批准工具的凭据分开。控制发生在 Mac 的执行路径上，而不是只依赖代理提示词。
05 · dotenv 保护
Homebrew 与 CLI
许多开发工具来自 Homebrew、npm、PyPI 和云 CLI。Vault 会检测这些工具留下的凭据文件和高风险操作，并把审批放到实际执行位置。
06 · dotenv 保护
下一步
先运行扫描器检查明文暴露，将支持的密钥移入受保护的本地存储，并保持 Automic Vault 运行，以便及时收到新的 hazard 通知。
07 · dotenv 保护
安装后的变化
熟悉的 CLI 仍可继续使用。区别在于密钥不再作为容易读取的配置文件留在磁盘上，而是只交给真正需要它的已批准执行。
08 · dotenv 保护
与中心化 vault 配合
1Password、HashiCorp Vault 和云端密钥系统仍可作为真实来源。Automic Vault 保护的是本地 Mac 工具使用这些值的那一刻。
09 · dotenv 保护
相关页面
文档、下载、密钥扫描器和软件包目录展示完整流程：发现暴露、加固工具、加入审批门，并持续监控开发机器。
10 · dotenv 保护
持续监控
新的软件包、过时工具和重新生成的配置文件可能在首次修复后重新带来风险。Automic Vault 会保持运行并提示新的 hazard。
11 · dotenv 保护
可信线索
公开仓库、安全页面、许可证以及 Max Howell 的 Homebrew 背景都可查看。本地安全边界应该能够被验证。
Automic Vault