用途：为授权系统设计或修复密钥检索、CI 凭据、工作负载身份、访问策略与轮换流程。
主要能力：从既有受支持后端（Vault、云密钥管理器或主机受保护存储）选择方案，明确环境边界与最小权限；提供 Vault 与 GitHub Actions 的相关参考文件；优先使用短期工作负载身份，并检查签发方、受众、工作负载/环境限制及拒绝访问；按准备、切换消费者、验证、撤销旧凭据的步骤轮换；用合成密钥标记检查日志、错误路径、产物与崩溃报告，只记录操作、主体、结果等元数据而非值。
使用方式：先确认密钥名称与所有者、消费者、环境、认证机制及轮换/恢复策略，检查配置时不显示值。Vault 场景阅读 references/vault-setup.md，开发模式与根令牌不是生产配置；GitHub Actions 场景阅读 references/github-secrets.md，将 PR 校验与特权任务分离；不要将值插入生成的 shell 源码或为调试打印。
适用场景：部署流程通过可信任务经配置身份取得数据库凭据并仅传给迁移进程；在预发环境测试缺失访问与过期身份。
验证：授权检索成功而其他工作负载或环境被拒绝；缺失凭据以失败关闭且不暴露值；用合成数据演练轮换与回滚；日志与产物在任何情况下均不含密钥标记；已泄露凭据需撤销或轮换，仅删除日志条目不够。
限制：掩码无法让日志记录密钥变得安全；密钥数据可能留存于基础设施状态、子进程环境或备份，需显式审查边界；未经授权不得改动真实凭据或部署密钥基础设施。来源：GitHub 安全工作流指南、Vault 生产加固。