

## 为什么开发者需要 1Password CLI

开发环境里的密钥管理一直是个麻烦：.env 文件明文躺在仓库里、脚本里硬编码数据库密码、CI 变量散落在各平台后台。1Password CLI（op 命令）把密钥从代码和脚本里抽出来，统一放在加密保险库中，运行时再注入。本文记录 CLI 的安装、认证、常用命令与自动化集成实践。
![1Password Windows 版下载与使用指南](https://developer.qcloudimg.com/http-save/yehe-11953936/0012877e8a8c2b2bcf25edd473de5fc1.png)
## 一、CLI 安装

1Password CLI 是独立二进制，安装方式按平台选择：

- Windows：使用包管理器 `choco install 1password-cli`，或从官方下载页获取
- macOS：`brew install --cask 1password-cli`

安装后验证版本：

```
op --version
```

## 二、认证

### 2.1 桌面应用集成（推荐）

在 1Password 桌面客户端中开启开发者模式（设置 → 开发者 → 命令行工具），然后在终端执行：

```
op signin
```

它会通过桌面应用完成认证，无需手动输入密码。

### 2.2 添加账户

多账户场景先添加账户：

```
op account add --address acme.1password.com --email you@example.com --secret-key <SK>
```

### 2.3 获取会话

```
eval $(op signin --account acme.1password.com)
```

该命令把会话 token 写入环境变量（OP_SESSION_xxx），后续命令免认证。脚本中可用 `op signin --raw` 只输出 token 自行管理。

## 三、常用命令

查看保险库与条目：

```
op vault list
op item list --vault 保险库名
```

读取条目字段：

```
op item get "数据库密码" --field password
op read op://保险库/条目/字段
```

创建条目并生成强密码：

```
op item create --category login --title "测试站点" --url https://example.com --generate-password=letters,digits,symbols,32
```

验证当前身份：

```
op whoami
op account list
```

## 四、脚本自动化

### 4.1 op run：运行时注入环境变量

让命令直接使用保险库中的密钥作为环境变量：

```
op run -- node server.js
```

配合 env 引用：

```
DATABASE_URL=op://app-prod/db/url
SECRET_KEY=op://app-prod/api/key
```

op run 会自动解析并注入，默认对输出做脱敏处理。

### 4.2 op inject：解析配置文件模板

准备模板文件 config.tpl：

```
db_password: {{ op://app-prod/db/password }}
api_key: {{ op://app-prod/api/key }}
```

执行注入：

```
op inject -i config.tpl -o config.yaml
```

生成真实配置，模板本身不落地明文。

### 4.3 示例：数据库备份脚本

```
#!/bin/bash
eval $(op signin --account my.1password.com)
DB_PASS=$(op read op://prod/db/password)
mysqldump -u backup -p"$DB_PASS" mydb | gzip > backup-$(date +%F).sql.gz
```

## 五、CI/CD 集成

本地交互式登录不适合 CI。CI 场景推荐使用服务账号（Service Account）：

1. 在管理后台创建服务账号，仅授予所需保险库的读取权限
2. 将服务账号 token 配置为 CI 平台的 Secret（环境变量 OP_SERVICE_ACCOUNT_TOKEN）

GitHub Actions 示例：

```
steps:
  - uses: 1password/load-secrets-action@v2
    with:
      export-env: true
    env:
      OP_SERVICE_ACCOUNT_TOKEN: ${{ secrets.OP_SERVICE_ACCOUNT_TOKEN }}
      DATABASE_URL: op://app-prod/db/url
```

后续步骤直接读取环境变量，密钥不出现在日志中。

## 六、注意事项

1. **会话安全**：op signin 产生的会话 token 不要写入仓库或日志，用完可执行 `op signout` 清除。
2. **最小权限**：服务账号只授予需要的保险库，遵循最小权限原则。
3. **脱敏**：op run 默认对注入的密钥做输出脱敏，调试需要时用 `--no-masking` 显式关闭。
4. **密钥引用**：`op://` 引用不要硬编码到公开脚本；模板文件纳入版本管理时需要脱敏处理。
5. **备份**：CLI 同样依赖主密码与备份密钥，确保两者已离线备份。

下载地址：[1Password 最新下载](https://1password.ijinshan.com/)

---

> 免责声明：本文为开发者技术实战文章，基于 1Password CLI 实际功能整理。所述命令与参数仅供参考，实际使用时请以官方文档为准。CLI 命令与参数可能随版本更新而变化。请妥善保管主密码与备份密钥，密钥仅用于合法的开发测试场景，遵守相关法律法规。

开发环境里的密钥管理一直是个麻烦：.env 文件明文躺在仓库里、脚本里硬编码数据库密码、CI 变量散落在各平台后台。1Password CLI（op 命令）把密钥从代码和脚本里抽出来，统一放在加密保险库中，运行时再注入。本文记录 CLI 的安装、认证、常用命令与自动化集成实践。

1Password CLI 实战：用 op 命令管理密钥与自动化集成

开发工具

安全

运维

1Password CLI（op命令）将开发密钥从.env文件和脚本中抽离至加密保险库，运行时按需注入。本文详解安装、桌面应用集成、服务账号CI配置及oprun/opinject自动化实践，实现密钥集中管理与安全脱敏，杜绝明文泄露。

2026上云采购 | AI焕新·智启新局

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

1Password CLI 实战：用 op 命令管理密钥与自动化集成-腾讯云开发者社区-腾讯云

1Password CLI 实战：用 op 命令管理密钥与自动化集成

1Password CLI 实战：用 op 命令管理密钥与自动化集成

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐