KeePass Credential Hygiene 是一套针对 KeePass 凭据操作的规则集合，适用于通过 MCP 工具与 KeePass 交互、处理密钥材料或执行凭据轮换的场景。
用途 该技能的核心用途是约束 AI 或自动化流程在访问 KeePass 密码库时的行为，防止误用失效凭据、泄露密钥内容或在轮换过程中造成凭据丢失。规则以“在通过 MCP 工具与 KeePass 交互时适用”为触发条件。
主要能力 规则涵盖以下几类约束：
凭据有效性：不得将标记为 [INACTIVE] 的条目用作凭据。如果 get_entry 或 get_attachment 返回 EntryInactive 错误，应停止操作并告知用户。
密钥材料访问方式：当需要访问 SSH 或 GPG 密钥材料时，应使用 get_attachment，而不是 get_entry。例外情况是：在访问密码库之前，应先按照 SSH 技能检查 ssh-agent 和 ~/.ssh。
密钥泄露防护：返回的密钥不得出现在对话输出、注释、代码、日志或除目标位置之外的任何文件中。
凭据轮换顺序：轮换凭据时，必须先确认 create_entry 成功，然后再调用 deactivate_entry。不得在确认新凭据已存储之前就执行停用操作。
新凭据生成参数：生成新凭据时应使用加密上合适的参数，例如 SSH 密钥使用 ed25519，密码使用 32 位以上随机字符串，并按服务选择正确的密钥类型。
查找策略：如果 get_entry 或 get_attachment 在预期分组中未找到条目，应使用 search_entries 并以条目名称作为查询。条目可能位于子分组中或已被移动。
受限条目处理：如果工具抛出 EntryRestricted，不得尝试通过任何其他方式访问该条目，应告知用户该条目受限并停止。
只读条目处理：标记为 READ ONLY 的条目可通过 get_entry 和 get_attachment 读取，但拒绝所有写入操作（如 deactivate_entry、add_attachment）。不得尝试绕过限制。
使用方式 该技能以规则形式提供，用户在通过 MCP 工具与 KeePass 交互时应用这些规则。文档未提供具体的安装命令或配置步骤。
适用场景 适用于需要通过 KeePass 管理凭据的自动化流程，尤其是涉及 SSH/GPG 密钥取用、凭据轮换、以及包含 INACTIVE、AI RESTRICTED 或 READ ONLY 标记条目的密码库操作。
限制 文档未说明该技能支持的具体平台、依赖版本或收费信息。规则本身依赖 MCP 工具提供的错误类型和条目标记，实际效果取决于 KeePass MCP 工具的实现是否遵循相应约定。