用途：这是一份关于使用 Fnox 管理密钥的安全准则与最佳实践，适用于需要安全实现密钥管理的场景，覆盖加密、密钥管理、访问控制与安全加固。
主要能力与要点：加密方面，敏感数据不应以明文写入配置并提交到 git，而应通过 age 等 provider 加密存放，也可使用云 KMS 等托管加密；密钥管理方面，私钥文件应设置权限（如 chmod 600）、不得提交、公私钥分离，fnox.toml 只放公钥，私钥放入被 gitignore 的本地文件，并定期轮换密钥；访问控制方面，遵循最小权限，按环境与团队角色拆分密钥与 provider；Git 安全方面，用 .gitignore、pre-commit 钩子、审计 git 历史来防止误提交；此外还包含开发/生产环境隔离、使用 profile 切换、云厂商（AWS/Azure/GCP）托管身份与最小权限、审计日志与异常监控、密钥轮换与废弃清理、文档化密钥用途，以及 CI/CD 使用专用密钥并限制访问等建议。
必要用法示例：生成 age 密钥用 age-keygen -o ~/.config/fnox/keys/identity.txt；按环境执行用 FNOX_PROFILE=production fnox exec -- node app.js；查看与诊断可参考 fnox list、fnox doctor、fnox provider test aws-sm；轮换密钥可参考 fnox get --all | fnox set --provider age-new。
限制：本资料为安全建议文档，未提供 Fnox 的安装方式、收费与价格、具体版本要求或平台支持等事实；相关命令与配置示例需结合自身环境验证。