命令列

keymitt <指令> [選項]

密碼

add

keymitt add <name> [--description <說明>] [--command <程式>]... [--host <主機>]...
                   [--env <變數>]... [--channel stdin|env|file|http]... [--from-stdin]

存入新的密碼。值會請你輸入兩次、不回顯；或加上 --from-stdin 從標準輸入讀取（例如 pbpaste | keymitt add api --from-stdin --host api.example.com）。名稱可用英數字、.、_ 與 -。 --command psql 會當場解析程式並存下完整路徑；--env 限制這組密碼能放進哪些環境變數。 沒有 --channel 時，--command 會開啟 stdin、env 與 file，--host 會開啟 http。

update

keymitt update <name> [--from-stdin]

更換既有密碼的值。

rm

keymitt rm <name> [--yes]

從鑰匙圈刪除值、從政策刪除項目。除非加上 --yes，否則會請你輸入名稱確認。

list

列出每組密碼、鑰匙圈裡有沒有值，以及它的管道、程式與主機。

allow、disallow

keymitt allow <name> [--command <程式>]... [--host <主機>]... [--env <變數>]... [--channel <管道>]...
keymitt disallow <name> [--command <程式>]... [--host <主機>]... [--env <變數>]... [--channel <管道>]...

新增或移除規則。允許主機時會一併開啟 http 管道；程式一律存成完整路徑。

伺服器

mcp

在標準輸入輸出上執行 MCP 伺服器，請設定在你的 AI 用戶端裡。日誌寫到標準錯誤；設定 KEYMITT_LOG（預設 warn）可以看到更多細節。

核准

指令	用途
keymitt pending	列出等待終端機核准的請求
keymitt approve <id>	核准其中一個，需要輸入 yes 確認。必須在互動式終端機執行
keymitt deny <id>	拒絕其中一個

備份

指令	用途
keymitt backup <檔案>	加密備份政策與所有值。需要強驗證核准與通關密語
keymitt restore <檔案> [--overwrite]	以強驗證核准後還原；已存在的值與項目會保留，除非加上 --overwrite

稽核

keymitt audit [-n <行數>]

印出 audit.jsonl 最後幾筆（預設 20 筆），每行一個 JSON 物件。事件有 add、update、remove、run、http、 read_file、backup 與 restore。每筆記錄用到的密碼、含佔位符的指令或網址、核准結果（方式、強弱、elapsed_ms）、 結果與遮蔽次數——絕不記錄值。紀錄超過 10 MB 會輪替成 audit.jsonl.1。

設定與診斷

指令	用途
keymitt doctor [--approval]	檢查路徑、政策（含只寫名稱的程式）、鑰匙圈、核准方式與 curl
keymitt setup claude	印出 Claude Code 的註冊指令
keymitt setup polkit	印出 Linux 的 polkit 動作檔與安裝方式
keymitt paths	顯示 keymitt 把檔案放在哪

環境變數

變數	用途
KEYMITT_HOME	放 policy.toml、audit.jsonl 與等待中核准的目錄
KEYMITT_LOG	keymitt mcp 的日誌等級，例如 info 或 debug