用途：在受管 Linux 服务器上处理密钥卫生，包括扫描泄露到文件或仓库中的凭据、用 age 或 sops 加密静态配置、以及在不中断服务的前提下轮换凭据。不负责用户 SSH 密钥（见 linux-access-control）、TLS 证书（见 linux-firewall-ssl）和代码仓库内应用密钥生命周期。
主要能力：使用 trufflehog、gitleaks、detect-secrets 扫描仓库或文件系统；用 age 加密单文件、用 sops 加密 YAML/JSON/ENV 并支持 updatekeys 轮换接收者；用 gpg 轮换备份密钥；用 find 审计凭据文件权限。发行版方面，Debian/Ubuntu 用 apt install age gnupg，RHEL 系用 dnf install age gnupg2，age 在 RHEL/CentOS/Rocky/Alma 需 EPEL，Fedora 在主仓库。
使用方式：扫描示例 trufflehog filesystem /var/www/my-app --no-update、gitleaks detect --source . --verbose；age 生成密钥 age-keygen -o ~/.config/age/keys.txt，加密 age -r age1abcd... -o secret.age secret.txt；sops 加密 sops -e -i secrets/db.yaml，编辑 sops secrets/db.yaml。轮换顺序为生成→并行部署→验证→吊销，绝不先吊销。可选快速路径：sudo install-skills-bin linux-secrets 安装 sk-secret-scan 与 sk-secret-rotate 包装脚本。
限制：默认只读扫描；读取密钥内容、编辑加密文件、联系密钥提供方、吊销凭据或重启消费者需明确授权与最小权限。云密钥存储（AWS Secrets Manager、Vault）不在 v1 范围。凭据文件应为 0600 且属主为所需进程。轮换需先枚举依赖方、准备回滚，否则只返回分阶段计划。若提供方访问或消费者测试不可用，标记吊销或切换未评估。不要通过聊天或命令输出传递密钥值。