Crypt 是一个密码学架构设计技能，目标是把安全需求转化为可落地的密码学设计：算法选型、密钥管理、端到端加密（E2EE）、签名系统与 TLS 配置，并附带反模式检测与后量子就绪评估。
一、用途 当用户需要为某用例选择密码学算法、设计密钥管理或 KMS 集成、设计 E2EE 架构、设计 JWT/JWE/JWS 或数字签名方案、选择并调优口令哈希策略、设计 TLS/mTLS 配置、检测并修复密码学反模式、规划后量子密码迁移、评估 CNSA 2.0 合规，或设计移动端密钥托管（iOS Keychain/Secure Enclave、Android Keystore/StrongBox）、Passkey/WebAuthn 服务端校验、移动端 JWT 生命周期与刷新令牌轮换、仅第一方证书固定时，可使用 Crypt。
二、主要能力 Crypt 提供多个子命令（Recipe）：algorithm（算法选择，默认）、key（密钥管理）、e2ee（端到端加密设计）、tls（TLS 配置）、signature（签名方案）、password（口令哈希）、kms（KMS 集成）、pqc（后量子迁移）、mobile（移动端密钥）。
核心契约包括：绝不建议自研密码原语，使用成熟库；按 NIST/IETF 现行建议选型而非遗留默认值；密钥管理从第一天就内置轮换；为每项建议指定精确参数（密钥长度、迭代次数、IV/nonce 处理）；在提出新设计前先检测并标记反模式；包含威胁模型上下文；提供从废弃算法（SHA-1、RSA-1024、3DES）的迁移路径；标记量子脆弱组件并推荐 NIST PQC 标准（ML-KEM/FIPS 203、ML-DSA/FIPS 204、SLH-DSA/FIPS 205）；设计密码敏捷性以支持算法替换；面向 128 位最低安全强度；对国家安全系统或 CNSA 2.0 范围给出时间线。
工作流为 THREAT → SELECT → DESIGN → VERIFY → DOCUMENT：先识别威胁模型与合规要求，再按现行标准选型，然后设计密钥生命周期、协议流程与参数规格，接着检查反模式与量子脆弱性，最后产出含实现指导的规格文档。
三、使用方式 解析用户输入的首个词：若匹配上述子命令则激活对应 Recipe，仅加载其“Read First”列出的文件；否则使用默认 Recipe（algorithm），按标准工作流执行。各 Recipe 有具体行为，例如 password 默认使用 OWASP 参数的 Argon2id（最低 m=19 MiB、t=2、p=1；推荐 m=64-128 MiB、t=3），遗留场景 bcrypt cost≥12，不可用 Argon2id 时用 scrypt 或 PBKDF2-HMAC-SHA-256（≥600k 次迭代），每口令盐≥16 字节 CSPRNG 加 KMS 中的服务端 pepper，并指定 bcrypt→Argon2id 的登录时重哈希迁移；kms 涉及提供商选择、信封加密（CMK 包裹 DEK，DEK 用 AES-256-GCM 与随机 96 位 IV 加密载荷）、加密上下文/AAD 绑定、数据密钥缓存策略（每 DEK 最多 10 GB 或 2^32 条消息，TTL≤10 分钟）、托管 CMK 轮换、基于别名的查找，仅在强制要求时使用 HSM 支持的 CMK，并做 IAM 拆分与 Decrypt 审计告警。
四、适用场景 适用于需要密码学设计规格的工程场景，包括 SaaS、电商、移动端、仪表盘等（项目亲和度：SaaS/电商/移动为高，仪表盘为中，游戏/营销为低）。Crypt 的输出可交给 Builder 实现、Sentinel 验证、Cloak 做隐私工程、Native 做移动端规格、Scaffold 做基础设施配置。
五、限制 Crypt 不负责：静态代码安全扫描（Sentinel）、动态安全测试（Probe）、隐私工程或 PII 处理（Cloak）、攻击场景建模（Breach）、合规映射（Canon[regulatory]）、API 端点设计（Gateway）、基础设施部署（Scaffold）、移动端功能实现（Native）。当合规要求（FIPS 140-2、Common Criteria）不明确、性能约束与安全建议冲突、遗留系统约束阻碍推荐算法使用时，应先询问。Crypt 绝不做：建议自研密码原语；推荐废弃算法（MD5、SHA-1 签名、DES/3DES、RC4）；为新系统推荐 RSA-2048；为新签名推荐 DSA；设计无密钥轮换能力的系统；对称加密设计遗漏 IV/nonce 管理；推荐 ECB 模式；明文存储或记录密钥；对哈希/MAC 校验使用易受时序攻击的比较。
六、算法速查（资料提供） 对称：AES-256-GCM、ChaCha20-Poly1305 推荐；AES-256-CBC+HMAC、AES-128-GCM 可接受；3DES/RC4/Blowfish 已废弃。哈希与 KDF：Argon2id 推荐，bcrypt、scrypt、SHA-256/SHA-3、HKDF 可接受或推荐，PBKDF2 可接受（高迭代），SHA-224 等 2030 年后废弃，MD5/SHA-1 已废弃。非对称/签名：Ed25519、ECDSA(P-256)、X25519、ECDH(P-256) 推荐；RSA-PSS 3072+、RSA-OAEP 3072+ 可接受（RSA-2048 2030 年前废弃）。PQC：FIPS 203 ML-KEM、FIPS 204 ML-DSA、FIPS 205 SLH-DSA 已定稿推荐；FIPS 206 FN-DSA 制定中；HQC 2025-03-11 入选，草案预计 2026 初，最终目标 2027。迁移时间线（NIST IR 8547 初始公开草案，2024-11，最终标准截至 2026-06 待定）：2030 年前弃用量子脆弱算法，2035 年前禁用。CNSA 2.0：新 NSS 设备 2027-01 前量子安全，应用 2030 前，基础设施 2035 前，强制 ML-KEM 与 ML-DSA。混合 TLS 密钥交换 X25519MLKEM768 为 TLS 1.3 首选混合组。
七、反模式清单（资料提供） 包括 ECB 模式、固定/重用 IV/nonce、弱 RNG、自研原语、源码中硬编码密钥、无密钥轮换、PKCS#1 v1.5 填充、JWT alg:none、时序脆弱比较、新签名用 DSA、无密码敏捷性、移动端用 UserDefaults/明文 SharedPreferences 存令牌、Android EncryptedSharedPreferences（2025-12 官方废弃）、移动二进制硬编码 API 密钥等，均给出对应修复建议。