OneCLI：开源凭证网关，让AI智能体永不接触密钥

AI 智能体的秘密保险库。一次存储，随处注入。智能体永远看不到密钥。OneCLI 是一个开源网关，位于你的 AI 智能体与其调用的服务之间。你无需将 API 密钥嵌入每个智能体，只需在 OneCLI 中存储一次凭证，网关便会透明地注入它们。

智能体永远看不到秘密。为什么我们要构建它：AI 智能体需要调用数十个 API，但为每个智能体提供原始凭证存在安全风险。OneCLI 通过一个处理认证的单一网关解决了这个问题，让你在一个地方管理访问、轮换密钥，并查看每个智能体的行为。

工作原理：你将真实的 API 凭证存储在 OneCLI 中，并为智能体提供占位符密钥（例如 FAKE_KEY）。

当智能体通过网关发出 HTTP 请求时，OneCLI 网关将请求与正确的凭证匹配，将 FAKE_KEY 替换为 REAL_KEY，解密它们，并将其注入到出站请求中。智能体从不接触真实的秘密。它只进行正常的 HTTP 调用，由网关处理替换。

- Rust 网关：拦截出站请求并注入凭证的快速 HTTP 网关。智能体通过 Proxy-Authorization 标头使用访问令牌进行认证。- Web 仪表盘：用于管理智能体、秘密和权限的 Next.js 应用。

提供网关用于解析每个请求应注入哪些凭证的 API。- 秘密存储：AES-256-GCM 加密的凭证存储。

秘密仅在请求时解密，通过主机和路径模式匹配，并由网关作为标头或 URL 查询参数注入。本地运行 OneCLI 的最快方式：curl -fsSL https://onecli.sh/install | sh或者，如果你更喜欢手动运行：git clone https:

//github.com/onecli/onecli.gitcd oneclidocker compose -f docker/docker-compose.yml up -d --wait打开 http:

//localhost:10254，创建一个智能体，添加你的秘密，并将智能体的 HTTP 网关指向 localhost:10255。快速启动在本地模式下运行 OneCLI（单用户，无需登录），因此不需要 .env 或 NEXTAUTH_SECRET。

要为多用户启用 Google OAuth，请设置 NEXTAUTH_SECRET 和 Google 凭证（参见配置）。

- 透明凭证注入：智能体进行正常的 HTTP 调用，网关处理认证 - 加密秘密存储：AES-256-GCM 静态加密，仅在请求时解密 - 主机和路径匹配：通过模式匹配将秘密路由到正确的 API 端点 - 多智能体支持：每个智能体拥有自己的访问令牌，

具有作用域权限 - 简易设置：

curl -fsSL https://onecli.sh/install | sh 启动所有内容（应用 + PostgreSQL） - 两种认证模式：本地使用单用户（无需登录），或团队使用 Google OAuth - Rust 网关：快速、内存安全的 HTTP 网关，

支持 HTTPS 的 MITM 拦截 - Vault 集成：连接 Bitwarden（或其他密码管理器）实现按需凭证注入，无需在服务器上存储秘密

apps/web/ # Next.js 应用（仪表盘 + API，端口 10254）gateway/ # Rust 网关（凭证注入，

端口 10255）packages/db/ # Prisma ORM + 迁移ui/ # 共享 UI 组件（shadcn/ui）docker/Dockerfile # 应用镜像（网关 + Web）docker-compose.yml- mise（安装 Node.js、

pnpm 和其他工具）- Rust（用于网关）- Docker（用于 PostgreSQL）mise installpnpm installcp .env.example .envpnpm db:generatepnpm db:

up # 启动 PostgreSQLpnpm db:migrate # 应用迁移pnpm dev仪表盘位于 http://localhost:10254，网关位于 http://localhost:10255。

所有环境变量在本地开发中都是可选的：我们欢迎贡献！开始之前，请阅读我们的贡献指南和行为准则。