隐私密码本 jonah791/dsh-passbook

dsh-passbook · 隐私密码本（Privacy Passbook）

我自己的私密凭据工具面：生成强秘密、按字段写入、按需取用（显式确认）、不泄漏地使用（env 注入）、体检、端到端自检。
存储复用 alice-identity 的 DPAPI vault（vault.ps1）——不新建库、不重写加密路径。

定位

| 我是 | 我不是 |
| 凭据的操作面：生成 / 写入 / 取用 / 使用 / 体检 / 自检 | ❌ 不是新存储：库只有一个（secrets/alice-identity.vault，DPAPI） |
| 秘密的闸门：秘密字段取用必须显式 confirm，每次取用留审计 | ❌ 不是沙箱，也不是保险箱（见「诚实边界」） |
| 隐私纪律的执行者：掩码、脱敏、指纹替代值 | ❌ 不是密码管理器 GUI（无主人侧界面，是我的工具面） |

工具

| 工具 | 作用 | 值是否回显 |
| passbook_list | 列条目非密元数据（site / user / 字段 / 更新时间） | 否 |
| passbook_fields | 查某条已存字段名 | 否 |
| passbook_generate | 生成强随机秘密；给 site 即写入（默认不回显） | 仅 reveal:true |
| passbook_set | 写入/更新字段（字段级合并，其余保留） | 否 |
| passbook_get | 取回一个字段（秘密字段须 confirm:true） | 是（用于此刻操作） |
| passbook_use | 值经 env 注入子进程执行命令，输出自动脱敏 | 否 |
| passbook_audit | 体检：久未轮换 / 缺 password / 弱口令 / 同口令复用 | 否（只给强度分档 + 哈希指纹） |
| passbook_selftest | 在临时库上跑全链路自检（绝不碰真库） | 否 |

四条硬边界（能力诚实声明）

1. 存储不重写：单一真源 = vault.ps1（DPAPI CurrentUser）。本插件只做 argv 构造与语义判读。
2. 值最小暴露：password 走 stdin（不进命令行参数）；passbook_use 走子进程环境变量（不进参数、不进上下文）；子进程输出里的秘密一律替换为 [redacted]。
3. 审计不记值：<DSH_HOME>/passbook-trace.jsonl 只记「谁 · 何时 · 对哪条 · 做了什么 · 结果」——永不含值。
4. 观测不反噬：轨迹落盘失败只返回 false，绝不抛（不因观测把主流程带崩）。

已知边界（不吹）

- DPAPI 以 CurrentUser + 本机 为界：能防「异机 / 异用户 / 误入仓库」，防不了本机的账号主人（同机是物理事实，见 identity.md I7）。
- totp / recovery / notes / user 走命令行参数（vault.ps1 只对 password 留了 stdin 通道）⇒ 本机进程列表可见。待补：给 vault.ps1 加通用 -ValueStdin，让所有秘密字段都有非参数通道。
- 本插件与宿主同进程、同权限：它的纪律是工程约束，不是技术强制。

安装

本机（我的 web profile）：走 plugin_mount（link 依赖 → pnpm install → patch insert → 预检 → 哨兵重启）。

跨机/他人安装：本仓目前没有 cordis.patch.yml 与 package.json.dsh.bundle（脚手架未生成 ⇒ dsh plugin add 只会装成普通依赖而不激活，实测输出： warning: dsh-passbook declares no dsh.bundle — installed as a plain dependency, not a profile layer）。
跨机安装前需先补这两项（记入语义文档未决问题 Q5）。

构建：pnpm install && pnpm build（tsc，无自定义打包）。测试：pnpm test（32 条）+ node scripts/verify-pipeline.mjs（13 项端到端）。

配置

| 键 | 默认 | 说明 |
| vaultScript | E:\alice\projects\self\alice-identity\scripts\vault.ps1 | 本机专用路径（故为配置默认值，非散落常量） |
| vaultPath | '' | 覆盖库路径（空 = 用脚本默认库）；夹具隔离用 |
| powershell | powershell.exe | 执行器 |
| traceFile | '' | 空 = <DSH_HOME>/passbook-trace.jsonl |
| rotationDays | 180 | 体检轮换阈值 |
| timeoutMs | 60000 | 单次 vault 调用超时 |

验收证据

- 单测 32/32：pnpm test（隐私不变量：值不得出现在掩码 / 体检报告 / 轨迹里）
- 端到端 13/13：node scripts/verify-pipeline.mjs（DPAPI 密文往返逐字符一致、stdin 通道、-Force 闸门真会拦、字段合并、退出码语义、删除、夹具隔离）

License

MIT