用途：在 Cursor 中通过 KeePassXC 安全管理密钥。KeePassXC 是本地密码管理器，条目（Title、Username、Password、URL、Notes）存于加密的 .kdbx 单文件数据库，无云端 API，通过 GUI 或 keepassxc-cli 访问。
主要能力：从数据库读取密码、API 令牌、SSH 密钥；用 keepassxc-cli 增删改查条目；SSH Agent 在数据库于 GUI 打开时自动把 SSH 密钥加载到系统 agent。
数据组织：组按 {project_name}/{env_name} 分层，如 myapp/prod；条目 Title 为密钥名，Password 存值，API key 可令 Username 为 api。
配置：环境变量 KEEPASS_DB_PATH 指向 cursor.kdbx。数据库口令存于 PowerShell SecretManagement（主方法），secret-tool 为 WSL 可选回退，Windows 凭据管理器仅作备份。keyring 只存数据库口令，所有密钥仅在 KeePassXC 库中，无文件回退。
用法：读取用 ~/.cursor/scripts/get-keepass-secret.sh "Entry Title" "Password"；或 keepassxc-cli ls/show -a "Password" "$KEEPASS_DB_PATH" "Entry Title"。写入遵循 check-before-add：先 ls/locate 检查，缺组先 mkdir，已存在用 edit，不存在用 add。
限制：许多 CLI 版本的 add/edit 不支持自定义属性和 Notes，仅 Title、Username、URL、Password；读取 "Cursor Database Password" 条目需数据库在 GUI 中打开；SSH 密钥需在 KeePassXC 启用 SSH Agent 并运行系统 ssh-agent。
适用场景：在 Cursor 工作流中注入 GitHub 令牌、数据库口令、服务 API key，以及免 -i 使用 SSH 密钥。
故障排查：keepassxc-cli 缺失可 sudo apt install -y keepassxc；SecretManagement 缺失可 Install-Module -Name Microsoft.PowerShell.SecretManagement -Scope CurrentUser 并注册 vault。