跳到主要内容

1Password

设置并使用 1Password CLI (op)。在安装 CLI、启用桌面应用集成、登录以及为命令读取/注入机密时使用。

技能元数据​

来源可选 — 使用 hermes skills install official/security/1password 安装
路径optional-skills/security/1password
版本1.0.0
作者arceus77-7, enhanced by Hermes Agent
许可证MIT
标签security, secrets, 1password, op, cli

参考：完整 SKILL.md​

信息

以下是 Hermes 在触发此技能时加载的完整技能定义。这是技能激活时代理所看到的指令。

1Password CLI

当用户希望通过 1Password 管理机密，而不是使用明文环境变量或文件时，使用此技能。

要求​

  • 1Password 账户
  • 已安装 1Password CLI (op)
  • 以下任一方式：桌面应用集成、服务账户令牌 (OP_SERVICE_ACCOUNT_TOKEN) 或 Connect 服务器
  • 提供 tmux，以便在 Hermes 终端调用期间保持稳定的认证会话（仅适用于桌面应用流程）

何时使用​

  • 安装或配置 1Password CLI
  • 使用 op signin 登录
  • 读取类似 op://Vault/Item/field 的机密引用
  • 使用 op inject 将机密注入配置/模板
  • 通过 op run 使用包含机密环境变量的命令

认证方法​

在 ~/.hermes/.env 中设置 OP_SERVICE_ACCOUNT_TOKEN（首次加载时，技能会提示输入此项）。 无需桌面应用。支持 op read、op inject、op run。

export OP_SERVICE_ACCOUNT_TOKEN="your-token-here"
op whoami  # verify — should show Type: SERVICE_ACCOUNT

桌面应用集成（交互式）​

  1. 在 1Password 桌面应用中启用：设置 → 开发者 → 与 1Password CLI 集成
  2. 确保应用已解锁
  3. 运行 op signin 并批准生物识别提示

Connect 服务器（自托管）​

export OP_CONNECT_HOST="http://localhost:8080"
export OP_CONNECT_TOKEN="your-connect-token"

设置​

  1. 安装 CLI：
# macOS
brew install 1password-cli

# Linux (official package/install docs)
# See references/get-started.md for distro-specific links.

# Windows (winget)
winget install AgileBits.1Password.CLI
  1. 验证：
op --version
  1. 选择上述一种认证方法并进行配置。

Hermes 执行模式（桌面应用流程）​

Hermes 终端命令默认是非交互式的，并且在调用之间可能会丢失认证上下文。 为了在使用桌面应用集成时可靠地使用 op，请在专用的 tmux 会话中运行登录和机密操作。

注意：使用 OP_SERVICE_ACCOUNT_TOKEN 时不需要此操作 — 令牌会在终端调用之间自动持久存在。

SOCKET_DIR="${TMPDIR:-/tmp}/hermes-tmux-sockets"
mkdir -p "$SOCKET_DIR"
SOCKET="$SOCKET_DIR/hermes-op.sock"
SESSION="op-auth-$(date +%Y%m%d-%H%M%S)"

tmux -S "$SOCKET" new -d -s "$SESSION" -n shell

# Sign in (approve in desktop app when prompted)
tmux -S "$SOCKET" send-keys -t "$SESSION":0.0 -- "eval \"\$(op signin --account my.1password.com)\"" Enter

# Verify auth
tmux -S "$SOCKET" send-keys -t "$SESSION":0.0 -- "op whoami" Enter

# Example read
tmux -S "$SOCKET" send-keys -t "$SESSION":0.0 -- "op read 'op://Private/Npmjs/one-time password?attribute=otp'" Enter

# Capture output when needed
tmux -S "$SOCKET" capture-pane -p -J -t "$SESSION":0.0 -S -200

# Cleanup
tmux -S "$SOCKET" kill-session -t "$SESSION"

常见操作​

读取机密​

op read "op://app-prod/db/password"

获取 OTP​

op read "op://app-prod/npm/one-time password?attribute=otp"

注入到模板​

echo "db_password: {{ op://app-prod/db/password }}" | op inject

使用机密环境变量运行命令​

export DB_PASSWORD="op://app-prod/db/password"
op run -- sh -c '[ -n "$DB_PASSWORD" ] && echo "DB_PASSWORD is set" || echo "DB_PASSWORD missing"'

安全准则​

  • 除非用户明确要求获取值，否则切勿将原始机密打印回给用户。
  • 优先使用 op run / op inject，而不是将机密写入文件。
  • 如果命令失败并显示 "account is not signed in"（账户未登录），请在同一 tmux 会话中再次运行 op signin。
  • 如果无法使用桌面应用集成（无头模式/CI），请使用服务账户令牌流程。

CI / 无头模式说明​

对于非交互式使用，请使用 OP_SERVICE_ACCOUNT_TOKEN 进行认证，并避免交互式的 op signin。 服务账户需要 CLI v2.18.0+ 版本。

参考资料​