用途：把命令行工具从“未安装”带到“可用且已验证”，并将安装与密钥配置分成两个独立阶段，避免在聊天、日志、shell 历史或仓库文件中暴露凭据。
主要能力与流程：先确认目标 CLI、操作系统与架构、用途及是否需要认证；用 command -v tool、tool --version、包管理器查询和已有配置路径等窄命令检查现状；行动前查阅官方安装文档，优先官方文档、包注册页、签名发布说明或上游 GitHub 发布。选择最不意外的安装方式：优先维护良好的项目包管理器（brew、npm、pipx、uv tool、cargo install、go install），仅在官方路径时使用厂商安装器，手动安装二进制前须核对架构、校验和/签名、权限与目标位置。尽量安装到用户可写、可回滚的位置，除非确有必要且用户同意才用 sudo。仅按需配置 PATH/补全，不向 shell 启动文件写入密钥。
密钥处理：绝不读取、打印、摘要、grep 或搜索 .env、shell rc、钥匙串、SSH 密钥、云凭据文件或密码管理器中的密钥值；不运行 env、printenv 或递归搜索令牌的宽泛命令。新凭据优先用浏览器/设备 OAuth 或官方 auth login、平台安全流程、操作系统凭据存储、交互式隐藏提示、本地密钥管理器；仅在用户明确要求或没有更安全选项时用明文 env 文件，默认写占位符并设 0600。不接受时停止并请用户本地运行官方登录命令。
验证与回滚：用 tool --version、tool doctor、只读认证命令验证；失败时记录非密钥错误文本并判断是 PATH、依赖、架构、权限、网络还是认证问题。不执行付费、变更或显示密钥的操作。结束时报告改动了什么、文件位置、如何撤销、是否需要重启或新 shell，并给出卸载命令或回滚路径。
限制：资料未提供具体工具清单、平台支持范围、收费信息或示例工具名称，实际执行时需结合具体工具的官方说明。