用途：通过 Doppler 为发布与部署工作流注入凭据和密钥，典型场景包括发布 Python 包到 PyPI、轮换 AWS 访问密钥、跨多个服务管理凭据、排查认证失败（403、InvalidClientTokenId）、设置 Doppler 凭据注入模式以及多令牌/多账号策略。
主要能力：核心模式是使用 Doppler CLI，标准用法为 doppler run --project <project> --config <config> --command='<command>'。使用 --command 标志可确保变量在 Doppler 注入之后再展开；若省略，shell 会在 Doppler 运行前展开 $VAR，导致空字符串。示例：PyPI 发布使用 doppler run --project claude-config --config dev --command='uv publish --token "$PYPI_TOKEN"'；AWS 操作使用 doppler run --project aws-credentials --config dev --command='aws s3 ls --region $AWS_DEFAULT_REGION'。
使用方式与最佳实践：始终用 --command 标志注入凭据；使用项目级令牌（如 PyPI）提升安全性；定期轮换凭据（建议 90 天）；用 doppler secrets notes set <SECRET> "<note>" 记录说明；用 echo -n 'secret' | doppler secrets set 通过 stdin 存储密钥；使用前用 echo ${#VAR} 验证注入长度；多令牌命名采用 SERVICE_TOKEN_{ABBREV}。本地开发可先绑定目录：cd ~/project && doppler setup --project claude-config --config prd --no-interactive，再用 doppler run -- COMMAND 限定作用域；跨多条命令复用的值可显式导出：export PYPI_TOKEN="$(doppler secrets get PYPI_TOKEN --plain)"。注意不要用此方式注入 GitHub 令牌，GitHub 多账号认证由仓库 origin 主机别名驱动，令牌通过 ~/.claude/tools/bin/gh-token-for-repo 按仓库解析，环境中的 GH_TOKEN 会覆盖隔离的 gh 配置并在轮换后返回 401。
限制与策略：PyPI 发布遵循 LOCAL-ONLY 工作区策略，不要在 GitHub Actions 或 CI/CD 流水线中配置 PyPI 发布。常见问题：PyPI 发布 403 通常是令牌过期或作用域错误，需重新生成项目级令牌并更新到 Doppler；AWS 的 InvalidClientTokenId 通常是访问密钥被轮换或删除，需执行密钥轮换并更新 Doppler；变量展开为空是未使用 --command；Doppler CLI 未安装可用 brew install dopplerhq/cli/doppler；配置选择错误需同时显式指定 --project 和 --config；项目选择错误可用 doppler configure 检查并重新运行 doppler setup；密钥获取慢可每个 shell 只取一次并导出；令牌长度不匹配通常是复制时带入了多余空白，需用 echo -n 方式重新设置。该技能为自演进型，若指令有误、参数漂移或需要变通，应在确认问题真实且可复现后立即更新文件。