pqc-tools 是 quantakrypto 提供的开源后量子就绪工具链，旨在帮助开发者在代码库中发现量子脆弱密码学，并将后量子就绪能力集成到编辑器和 CI 流程中，同时对后量子实现进行一致性测试。整个工具链零运行时依赖，仅使用 Node 内置模块，要求 Node ≥ 20。
用途方面，pqc-tools 主要解决“先收集、后解密”风险：当前被捕获的数据和密钥，一旦出现密码学相关量子计算机（CRQC）即可被解密。因此需要提前识别并迁移量子脆弱算法，如 RSA、ECDH、ECDSA、DH。
主要能力包括：qScan 扫描代码库中的量子脆弱密码学；MCP 将后量子就绪能力接入编辑器；Action 提供 CI 门禁；agent 提供离线 agent 原语；qProbe 增加实时端点维度；Sieve 独立测试其他后量子实现，自身不实现密码学。所有组件共享 @quantakrypto/core 引擎，该引擎包含检测器、脆弱依赖数据库、就绪评分、SARIF/JSON/CBOM/证据/OpenVEX 报告，以及离线 agent 原语（上下文脱敏、verify_fix 门禁、codemods、补丁策略）。
基础设施覆盖方面，除应用源码外，核心引擎还携带配置范围检测器，覆盖 Terraform/OpenTofu IaC 与云 KMS、JSON Web Keys、Kubernetes/cert-manager/Istio、CI/CD 制品与代码签名（cosign/GPG/jarsigner/codesign/minisign）、静态密钥（SOPS/age、PGP、Sealed Secrets）、消息代理（Kafka/MQTT）、数据库（pgcrypto、libpq sslmode）以及 JOSE/JWE 密钥管理。因此 qscan、Action 和 MCP 无需额外安装即可标记基础设施密码学问题。
使用方式上，可通过将 packages/action/examples/quantum-readiness.yml 放入 .github/workflows/ 来添加 CI 门禁，或直接接线。各包 README 提供完整选项参考和更多示例。工具链与 liboqs/OQS 等 PQC 库组合使用：quantakrypto 负责发现和门禁经典密码学（qscan、Action），告知迁移目标和顺序（qscan --tier、MCP plan_migration、qremediate），并对替换实现进行一致性测试（sieve 针对 FIPS 203/204/205 运行任何 ML-KEM/ML-DSA/SLH-DSA 实现，提供官方 NIST ACVP 向量时进行精确值 KAT）。liboqs 提供原语。端到端演练见 examples/liboqs-migration/。
适用场景包括：需要评估后量子就绪状态的代码库、需要将后量子检查纳入 CI 的团队、需要测试后量子实现一致性的开发者，以及需要覆盖基础设施配置中密码学问题的组织。
限制方面，quantakrypto 按设计不实现后量子密码学，仅作为扫描器、CI 门禁和一致性测试框架。工具链要求 Node ≥ 20，开发依赖仅为 TypeScript + tsx，无运行时依赖。文档位于 docs/，涵盖目标与范围、架构决策、标准与合规（NIST FIPS 203/204/205、SP 800-208、CNSA 2.0、SARIF、CWE、ISO/IEC 27001 (A.8.24)、Common Criteria、FIPS 140-3、EU DORA/NIS2、US M-23-02/NSM-10、SLSA、OpenSSF Scorecard、SPDX/REUSE）。许可证为 Apache-2.0。方法论开放，评估、认证报告和交付物属于 quantakrypto 实践范畴。支持与培训可通过 quantakrypto.com 或 hello@quantakrypto.com 联系。
