命令列

keymitt <指令> [選項]

密碼

add

keymitt add <name> [--description <說明>] [--command <程式>]... [--host <主機>]...
                   [--env <變數>]... [--channel stdin|env|file|http]...
                   [--from-stdin | --from-clipboard [--keep-clipboard]]

存入新的密碼。名稱可用英數字、.、_ 與 -。--command psql 會當場解析程式並存下完整路徑； --env 限制這組密碼能放進哪些環境變數。沒有 --channel 時，--command 會開啟 stdin、env 與 file， --host 會開啟 http。

值的來源：

選項	來源
（不加）	請你輸入兩次，不回顯
--from-stdin	標準輸入，例如 printf %s "$TOKEN" | keymitt add api --from-stdin --host api.example.com
--from-clipboard	系統剪貼簿，見下方說明

update

keymitt update <name> [--from-stdin | --from-clipboard [--keep-clipboard]]

更換既有密碼的值。值的來源跟 add 一樣。

從剪貼簿讀取

keymitt add github --host api.github.com --from-clipboard

Read 93 characters from the clipboard.
Stored github in the macOS Keychain.
Cleared the clipboard.

• 頭尾的空白（例如結尾的換行）會自動去掉。只顯示讀到幾個字元，絕不顯示內容。剪貼簿是空的會直接報錯。
• 存好之後，如果剪貼簿裡還是同一個值，keymitt 就會清空它；這段時間另外複製的東西不會被動到。 --keep-clipboard 保留剪貼簿不動。
• 剪貼簿歷程（Windows 的 Win+V、Maccy 或 Klipper 這類管理工具）會自己留一份，keymitt 清不到。
• Linux 需要桌面環境（X11 或 Wayland）。在伺服器上請改用 --from-stdin。
• 只有命令列會讀剪貼簿；MCP 伺服器完全碰不到。

rm

keymitt rm <name> [--yes]

從鑰匙圈刪除值、從政策刪除項目。除非加上 --yes，否則會請你輸入名稱確認。

list

列出每組密碼、鑰匙圈裡有沒有值，以及它的管道、程式與主機。

allow、disallow

keymitt allow <name> [--command <程式>]... [--host <主機>]... [--env <變數>]... [--channel <管道>]...
keymitt disallow <name> [--command <程式>]... [--host <主機>]... [--env <變數>]... [--channel <管道>]...

新增或移除規則。允許主機時會一併開啟 http 管道；程式一律存成完整路徑。

伺服器

mcp

在標準輸入輸出上執行 MCP 伺服器，請設定在你的 AI 用戶端裡。日誌寫到標準錯誤；設定 KEYMITT_LOG（預設 warn）可以看到更多細節。

核准

指令	用途
keymitt pending	列出等待終端機核准的請求
keymitt approve <id>	核准其中一個，需要輸入 yes 確認。必須在互動式終端機執行
keymitt deny <id>	拒絕其中一個

備份

指令	用途
keymitt backup <檔案>	加密備份政策與所有值。需要強驗證核准與通關密語
keymitt restore <檔案> [--overwrite]	以強驗證核准後還原；已存在的值與項目會保留，除非加上 --overwrite

稽核

keymitt audit [-n <行數>]

印出 audit.jsonl 最後幾筆（預設 20 筆），每行一個 JSON 物件。事件有 add、update、remove、run、http、 read_file、backup 與 restore。每筆記錄用到的密碼、含佔位符的指令或網址、核准結果（方式、強弱、elapsed_ms）、 結果與遮蔽次數——絕不記錄值。紀錄超過 10 MB 會輪替成 audit.jsonl.1。

設定與診斷

指令	用途
keymitt doctor [--approval]	檢查路徑、政策（含只寫名稱的程式）、鑰匙圈、核准方式與 curl
keymitt setup claude	印出 Claude Code 的註冊指令
keymitt setup polkit	印出 Linux 的 polkit 動作檔與安裝方式
keymitt paths	顯示 keymitt 把檔案放在哪

環境變數

變數	用途
KEYMITT_HOME	放 policy.toml、audit.jsonl 與等待中核准的目錄
KEYMITT_LOG	keymitt mcp 的日誌等級，例如 info 或 debug