用途：该模式描述系统自行管理密码学密钥（含存储与检索）的安全设计，系统须保证密钥在整个生命周期内的机密性与完整性。适用于需要完全掌控密钥、必须离线运行、法规要求自行保管密钥，或无法集成外部KMS的场景。
主要能力与组件：应用（Entity）与密码学库交互并管理密钥；Cryptographer（密码学原语）执行加密、签名等操作；Key Storage 持久化存储密钥材料。数据元素包括 keyConf（密钥生成配置，可选）、key（密钥材料）、id（存取密钥的标识符）、input、output、config（操作配置，可选）。动作包括 generate_key、store_key、get_key、crypto_action。
使用方式：生成时，应用请求 Cryptographer 生成密钥，再以选定 id 存入 Key Storage；使用时，应用按 id 取回密钥，连同输入数据交给 Cryptographer 执行操作并返回结果。
关键安全要求：密钥生成与口令派生密钥必须使用密码学库函数，禁止自研算法；口令派生推荐 Argon2、scrypt，需 FIPS-140 合规时用 PBKDF2。Key Storage 须保护密钥机密性与完整性，优先使用 HSM、TPM 等平台安全特性，否则限制物理与逻辑访问；用 MAC 或数字签名校验密钥完整性并定期验证；在物理隔离位置保留备份以便恢复。密钥在传输与静态存储时均须保护完整性与机密性，仅公钥可放宽机密性。id 决定使用哪把密钥，须防篡改，否则安全保证失效。应用持有真实密钥，应缩短内存驻留时间、用后清零、禁止记录日志、减少副本、使用安全内存。
限制与对比：相比“密码学即服务”，本模式密钥暴露风险更高（密钥进入应用内存），控制权与责任完全由自身承担；后者系统仅持有密钥标识符，暴露风险更低但依赖服务商。资料未提供具体实现代码、性能数据或收费信息。