密钥不进 argv
密码只从 stdin、隐藏输入或受控环境变量进入。
一次操作，要过四道护栏
这不是安全口号。下面这台终端在跑真实命令，四道护栏随执行依次点亮。
输出默认脱敏
密码、TOTP、卡号和私钥在普通输出中保持遮蔽。
写操作先预演
没有显式 --apply，管理命令只返回计划。
删除默认可恢复
普通删除进入回收站，永久清除需要额外确认。
点击任意护栏可重放
Web 管理，CLI 执行
同一套加密实现服务浏览器和命令行，Agent 得到机器可读结果，你保留明确的披露边界。
node agent-harness/bin/bwvault.js --help
先看交互式演示，再决定是否连接
演示模式沿用产品本身的渲染与分析流程。数据是合成的，交互不是截图摆设。
健康优先级
合成数据重复项整理
合成数据稳定凭据别名
合成数据健康优先级
定位弱密码、复用、过期和缺失信息。
重复项整理
先比较差异，再选择可恢复的清理路径。
稳定凭据别名
Agent 用名称引用服务凭据，不必反复搜索和粘贴。
明文停在本地
浏览器完成密钥派生和密码库解密。代理只负责转发 Bitwarden 请求，不承担密码库明文存储。
开源代码和 agent skill 都可以独立检查。
控制权仍然属于你