用途：在 Claude Code 会话中处理环境变量与密钥时，默认不暴露敏感值，通过 Varlock 完成验证、加载与审计，替代直接检查 .env。
主要能力：通过 .env.schema 定义每个变量的类型与敏感性，支持 @sensitive、@sensitive=false、@defaultSensitive 等注解，以及 string、string(startsWith=)、string(contains=)、url、port、boolean、enum() 等类型校验；加载时对敏感值进行掩码显示。支持从 1Password、AWS Secrets Manager 等外部来源取值。
使用方式：安装 CLI 后用 varlock init 生成或手动创建 .env.schema；用 varlock load 验证（--quiet 静默、--env= 指定环境），用 varlock run -- <cmd> 将已校验的环境注入命令（如 varlock run -- npm start）。查看 schema 用 cat .env.schema。可集成到 npm scripts、GitHub Actions 与 Docker。
安全规则：不要 echo 密钥、不要直接 cat/读取 .env、不要在命令或错误信息中内联密钥、不要 printenv | grep 密钥；如需修改密钥应由用户手动在 .env 或密钥管理器中进行，再运行 varlock load 验证。
适用场景：需要在 Claude 会话中校验、加载、审计密钥，或构建围绕 Varlock 的安全工作流。
限制：仅适用于与上述范围明确匹配的任务；输出不能替代针对具体环境的验证、测试或专家审查。若缺少必要输入、权限、安全边界或成功标准，应停止并请求澄清。