别把 API Key 粘进 Agent 会话：用 llm-keys-ui 给远程 Coding Agent 做密钥卫生

# 安装 llm（若未安装）
pip install llm

# 密钥库文件在哪
llm keys path          # 输出 keys.json 的绝对路径

# 看已存了哪些名字（只列名字，不显示值）
llm keys list

# 人在终端手动录入（值不进 shell 历史）
llm keys set openai
# 按提示粘贴，回车即存入 keys.json

llm 的密钥管理设计给「人坐在终端前」的场景：keys set 单独提示输入值，不上命令行参数，所以 shell 历史里不会留下明文。但这套防护在 Agent 场景里失效——坐在键盘前的不再是人而是模型，它看到的一切都会被记录。所以录入环节要换通道，这正是下一步。

# 推荐方式：uvx 临时运行，不污染环境
uvx --with llm-keys-ui llm keys-ui

# 输出示例（默认绑定 127.0.0.1:8010）：
#   Serving on http://127.0.0.1:8010

# 常用参数：
#   -p 8123        换端口
#   -h 127.0.0.1   指定绑定地址（默认即本机回环）
#   --all          绑定 0.0.0.0，并打印本机所有 IPv4 地址的访问入口

预期效果：终端出现 Serving on 地址，浏览器打开后是一个极简表单——两个输入框（密钥名称、密钥值）加一个保存按钮。默认只绑定本机回环地址，外面碰不到；如果密钥要配到远程机器上（这正是 Willison 的原始场景：从手机驱动远程机器上的 agent），加 --all 让它监听所有网卡，然后从输出里找到局域网地址或 Tailscale 设备地址，用你手头的设备浏览器打开。

# 表单里填：
#   Name:  anthropic        （密钥名称，之后取用就靠它）
#   Key:   sk-ant-xxxxxxxx  （真实密钥值）
# 点保存 → 写入 llm 的 keys.json

# 验证：名字进了列表，值无处可看
llm keys list
# anthropic
# openai
# ...

llm keys get anthropic   # 这条会打印值——只在终端里自己看

保存后密钥直接落进 keys.json，表单全程不回显已存的值——界面上你永远只能「写入」不能「读出」，这保证了就算表单被别人打开，也拿不走你已经存的密钥。注意 llm keys get 这条命令本身会打印明文，它是给终端里的你自己用的；把它放进 Agent 会话输出里和粘密钥没有区别——取用姿势看下一节。

# 场景 A：给某个进程注入环境变量（值在子进程里，不回显）
export ANTHROPIC_API_KEY=$(llm keys get anthropic)
./run-my-task.sh

# 场景 B：直接用 llm 发起模型调用（llm 自动读 keys.json）
llm -m claude-sonnet "总结这个目录的改动"

# 场景 C：告诉远程 Agent 的指令模板
# "运行 llm keys-ui 服务并告诉我访问地址，
#  我在浏览器里把 Key 填进去；
#  之后需要 Key 时用 llm keys get xxx 放进环境变量，
#  不要把密钥内容打印到会话里。"

关键区别在「通道」：Agent 执行 llm keys get anthropic 时，如果命令结果被重定向进环境变量（$(...)）或直接被下游进程消费而不回显，密钥就不进 transcript；反过来，如果 Agent 把取到的值 print 出来，那一切都白搭。所以给 Agent 的指令要写明规则：取用可以，回显不行。场景 C 的指令模板可以直接抄——先让 Agent 拉起表单服务并报告地址（这一步只暴露地址不暴露密钥），你填完后让它停服务，之后它按需通过命令取用。

再把验证做严一层：取用后翻一下命令历史与 Agent 的输出日志，确认没有出现 sk- 前缀的明文，也没有多余的 keys get 回显痕迹；把这两个检查写进验收清单，比事后追查省心得多。如果团队用共享的构建机，还可以更进一步：把 keys get 包进一层只允许特定任务调用的包装脚本，让「谁能取哪个密钥」从口头约定变成可审计的配置——密钥治理到这里就从个人习惯升级成了团队机制。

# 军规清单（可直接抄进团队文档）：
# 1. 密钥永不进 Agent 会话/聊天窗口/工单——录入走表单或终端
# 2. 远程配 Key：llm keys-ui + Tailscale，填完即停服务
# 3. Agent 取用只走 $(llm keys get xxx) 重定向，禁止回显
# 4. 误粘即轮换：revoke 旧 Key 重新签发，再排查扩散面
# 5. 定期 llm keys list 盘点：不该存在的名字及时删掉

这套流程的价值不在工具多精巧——它只是把一个朴素原则做顺了手：密钥的录入通道和使用通道都要绕开会被记录的地方。没有 llm-keys-ui 也有等价做法：SSH 过去手动 keys set、用密钥管理器、写临时 .env——原则相同。工具的意义是让正确的事情做起来顺手，顺手的事情才会成为习惯。