用途：为 mise + fnox + infisical 密钥工具链提供知识与防护规则，覆盖密钥注入、密钥提供方和环境变量卫生。
主要能力：先做工具链校验，检查 mise、fnox、infisical 是否安装；若缺失则先协助安装，不提供未安装工具的配置指导。检查项目配置状态，包括 fnox.toml、.infisical.json、mise.toml 的 [env] 段，以及全局 mise/fnox 配置和 infisical 登录状态。
工具角色：mise 是任务运行器与环境管理器；fnox 是统一密钥接口，抽象 infisical、age、env 文件等多种后端；infisical 是远程密钥后端，负责存储、同步与注入。典型集成链为 fnox.toml 将 infisical 定义为提供方，fnox exec 解析并注入环境变量，mise 任务可包装 fnox exec，或由 mise env 插件在 cd 时调用 fnox 自动注入。
安装命令：mise 用 curl https://mise.run | sh；fnox 用 mise use -g fnox；infisical 用 mise use -g infisical。缺失配置时运行 fnox init 或 infisical init。
防护规则：项目通过 .claude/settings.json 中的常开钩子强制密钥卫生，block-hardcoded-secrets.py 阻止含硬编码密钥的编辑/写入，block-bare-secret-exports.py 阻止未用 fnox exec 或 infisical run 包装的密钥类导出。
限制与陷阱：fnox.toml 必须先存在；fnox profile 须与 infisical 环境 slug 匹配，否则静默返回空密钥；.infisical.json 可安全提交；fnox.toml 可能含敏感路径；mise env 插件在 cd 时运行，配置错误会导致每次切换目录报错；infisical 登录令牌有 TTL，CI/CD 应使用 INFISICAL_TOKEN；服务令牌路径作用域显式，/ 作用域无法访问 /git_actions 等子路径，需各自令牌或使用 --recursive。详细配置见 references 下三个参考文件。