文章摘要
OneCLI是一个开源网关，位于AI代理与外部服务之间，统一存储凭证并透明注入，代理始终无法接触真实密钥，从而提升安全性。它通过占位密钥替换机制工作，并提供管理界面。
文章总结
好的，这是根据您的要求，对原文进行中文重述和精简后的版本：
OneCLI：AI代理的密钥保险库
OneCLI是一个开源网关，位于AI代理和它们调用的服务之间。它解决了将API密钥直接嵌入每个代理所带来的安全风险。
核心功能：
- 一次存储，随处注入：您只需在OneCLI中存储一次凭证，网关会在代理发出请求时透明地注入真实密钥。代理本身永远不会接触到敏感信息。
- 工作原理：代理使用占位密钥（如FAKE_KEY）发起HTTP请求。OneCLI网关拦截请求，匹配并解密真实的凭证，替换占位符，然后将请求转发给目标服务。整个过程对代理透明。
架构组成： - Rust网关：高性能HTTP网关，负责拦截请求并注入凭证。 - Web仪表盘：基于Next.js的应用，用于管理代理、密钥和权限。 - 密钥存储：使用AES-256-GCM加密，仅在请求时解密。
快速开始：
运行以下命令即可在本地启动（单用户模式，无需登录）：
bash
curl -fsSL https://onecli.sh/install | sh
或使用Docker手动运行。启动后，在http://localhost:10254管理密钥，并将代理的HTTP网关指向localhost:10255。
主要特性： - 透明的凭证注入 - 加密的密钥存储 - 基于主机和路径的匹配规则 - 支持多代理，每个代理拥有独立的访问令牌 - 一键安装，快速启动 - 支持单用户本地模式或团队Google OAuth认证 - 可集成Bitwarden等密码管理器
项目结构：
- apps/web/: Next.js仪表盘和API（端口10254）
- apps/gateway/: Rust网关（端口10255）
- packages/: 数据库模型和共享UI组件
本地开发：
需要安装mise、Rust和Docker。通过pnpm dev命令即可同时启动仪表盘和网关。
配置：
所有环境变量均为可选。设置NEXTAUTH_SECRET和Google凭证可启用多用户模式，否则为单用户模式。
许可： Apache-2.0
评论总结
根据评论内容，总结如下：
主要观点与论据：
产品价值与竞争（评分：正面）
- 用户winterrx表示已使用类似工具（Infisical），认为竞争有益。
- 用户denysvitali分享了类似项目（gh-proxy），强调假令牌泄露无害。
- 用户theozero提到其产品（Varlock）采用类似模式，支持多种密钥源。
技术质疑（评分：负面）
- 用户adithyassekhar批评：“你只是用一个密钥换另一个密钥，无论选择信任什么抽象，凭证最终都会传递给你的LLM。”（"You're just trading one key for another, whatever abstraction you chose to trust, at some point credentials will pass to your llm of the week."）
- 用户notaharvardmba认为OAuth/SAML/OIDC更成熟，不应增加故障点。
功能建议（评分：中性）
- 用户sandeepkd建议支持OAuth客户端凭证和请求重试/熔断。
- 用户redbridgerock赞赏网络层拦截方式。
评论生态（评分：负面）
- 用户stephantul指出：“大多数评论都在直接推销自己的产品。”（"most comments are people peddling their own products more or less directly."）
平衡性总结： - 支持者认为该模式有效，类似数据库代理设计（用户osinix）。 - 反对者质疑其本质是“密钥换密钥”，且SSO方案更成熟。 - 部分评论聚焦功能扩展，而非产品本身优劣。