用途：管理 PlanetScale 分支凭据。pscale password 命令组面向 Vitess 数据库，用于创建、列出、过滤、续期和删除分支密码；Postgres 与 Neki 分支凭据改用 pscale role。
主要能力：创建密码（pscale password create <database> <branch> <password-name>）；按只读区域创建 reader 凭据（配合 pscale keyspace read-only-regions 与 --read-only-region）；列出与分页过滤（--name 为子串匹配，状态值 active、renewable、expired，默认仅一页，用 --page 翻页）；续期（renew）；查看元数据（show，仅返回元数据，创建或续期后无法再取回密钥）；更新名称或 CIDR 白名单而不轮换密钥（update，--cidrs 会整体替换，传空值清空）；删除（delete）。show、update、delete 可用 ID 或 --name 定位，名称有歧义时用 ID。
Postgres/Neki 角色：pscale role list 支持分页、名称与状态过滤；pscale role default 为只读查询，不轮换凭据；pscale role create 创建 Neki 角色时 --inherited-roles 必须成对（neki_viewer 配 pg_read_all_data，neki_operator 配 postgres）。连接目标选择器 --replica、--read-only-replica、--bouncer 互斥；--read-only-replica 与 --bouncer 仅限 Postgres，不能与 Neki 的 --router、--shard 组合；Neki 上 --replica、--router、--shard 可组合。
限制与安全：明文密钥仅在创建时显示，应直接写入受认可的密钥管理器，不得打印到日志或提交。--read-only-region 与 --replica 两种路由模式互斥。更新名称或 CIDR 属于凭据访问写入，需先展示目标元数据与变更内容再请求批准，并用 show 或 list 验证。目标相关的 NOT_FOUND 可能表示角色或任一目标未找到，重试前需核对所有标识符。CI/CD 认证建议优先使用 pscale-service-token。