用途：在本地 macOS 环境中通过 1Password CLI（命令 op）完成认证设置、保险库与条目查询/增删改（CRUD）、文稿操作、密钥引用解析，以及把密钥注入子进程或配置文件（op run、op inject）。
主要能力：以已安装 CLI 为准（command -v op、op --version、op <command> --help）；用 op whoami 检查认证；多账户时使用 --account 或 OP_ACCOUNT。读取密钥优先用引用而非明文，如 op read 'op://vault/item/field'；给子进程传环境变量用 op run --env-file=.env -- <command>；渲染模板用 op inject -i config.tpl -o config.local。写操作前确认账户、保险库、条目与目标无歧义，支持时用 --dry-run。
使用方式：默认走桌面应用集成（解锁 App、启用 CLI 集成与 Touch ID/系统认证并确认提示）。建议一次性批量取 JSON 后用 jq 本地过滤，或在同一持久 PTY 会话中完成全部命令，避免多次授权弹窗。应用集成不可用时才用手动登录：op account add --address my.1password.com --email user@example.com、eval "$(op signin --account my)"、op whoami；手动会话令牌会过期且不应收集或持久保存。
限制与注意事项：绝不回显密钥、令牌、私钥或注入内容到聊天、日志或仓库；--reveal、--no-masking、密钥导出与持久令牌存储需明确需求并说明暴露范围。op run 掩码是尽力而为，不保证完全隐藏。条目名不唯一，需用 --vault 或条目 ID。op item get 用于条目详情，单个密钥字段用 op read。op run 之后的 shell 展开要放进子进程。若认证无法连接，请用户解锁应用并确认 CLI 集成后在同一 PTY 重试。不要重复创建操作来验证结果。