用途：这是一个面向 AI 代理的 1Password 命令行层，目标是让代理使用 1Password 时不必每次都暴露真实密钥值。它在官方 1Password CLI 与 SDK 的服务账号工作流之上工作，把模糊的代理请求解析为精确的 op:// vault/item/field 引用，先做元数据审计和策略检查，只有在明确计划后才调用 op read、op inject 或 op run。
主要能力：secrets resolve 把模糊请求解析为精确引用而不打印值；secrets read 仅读取精确引用并有 --reveal 门控；secrets explain 解释选中的条目和字段；secrets preflight 检查任务是否需要密钥、文档、卡片或写权限。env plan 解析 .env、配置或 shell 文件并映射到安全的 op:// 引用；env inject 先给出脱敏计划，需 --write 才写输出文件。items classify 识别疑似凭据的安全笔记，items duplicates 检测重复项，items ownership 标记缺失所有者或轮换标签的共享凭据。cards audit、cards resolve 处理卡片但不打印卡号、有效期或 CVV。documents inventory、audit、read 处理文档元数据与精确引用。另有 share preflight、policy check、access scope、rate-limit status、agent grant-plan、run plan、audit stale、audit misplaced 等。
使用方式：先安装并验证二进制。npx -y @mvanhorn/printing-press-library install 1password --cli-only，验证 1password-pp-cli --version；若失败可用 go install github.com/mvanhorn/printing-press-library/library/auth/1password/cmd/1password-pp-cli@latest（需 Go 1.26.6 或更新）。需先安装官方 op CLI 并认证；自动化可设置 export OP_SERVICE_ACCOUNT_TOKEN="<service-account-token>"。任何命令加 --agent 即展开为 --json --compact --no-input --no-color --yes。可用 1password-pp-cli which "<能力描述>" 查找命令，运行 doctor 验证配置。
适用场景：密钥引用的规划、元数据审计、策略检查，以及受限的本地 op read / op inject 工作流。
限制：本 CLI 为只读，不用于创建、更新、删除、发布、评论、点赞、邀请、下单、发消息、预订、购买或更改远端状态。命名 profile 不存储也不应用认证相关参数。恢复访问等一次性操作不要用 --agent。具体支持范围与不支持的分享链接检查状态以文档为准，其余细节暂未提供。