Keysrs

Keysrs

为 AI Agent 提供短期令牌，可在 Mac 和云 VM 上使用。你的真实 API 密钥保留在 macOS 钥匙串中；Agent 获取的是受限令牌。

• MCP 优先。 Agent 通过 MCP 与 Keysrs 通信：查找项目中的密钥、 导入密钥并向你申请访问权限。你使用 Touch ID 批准每项授权。
• 短期令牌。 一项授权仅适用于一个密钥、一个主机，时长从几分钟到 几小时不等；项目令牌有效期为 30 天。一次调用即可撤销所有授权。
• 也支持云 VM。 VM 或沙盒获取的是令牌，而非密钥。它的调用会通过 SSH 或你自行部署的中继返回 Mac 上的网关，并由网关替换为真实密钥。

Keysrs 还会统计通过其网关发出的调用：按密钥和提供商查看令牌、请求 和预估支出。

免费，采用 MIT 许可。需要 Apple Silicon 芯片和 macOS 14+。

安装

从 keysrs.com 或 最新版本 下载 Keysrs-arm64.dmg，将 Keysrs 拖到“应用程序”文件夹并打开。它会在后台运行（重新打开前不会显示 Dock 图标或窗口），并自动更新。

若要使用 keys 命令行工具，请在 Keysrs 菜单中选择 安装命令行工具…，它会链接到 ~/.local/bin/keys。

与 Agent 配合使用

keys setup mcp

这会为 Claude Code、Codex、Cursor、Droid 和 Claude Desktop 注册 Keysrs MCP 服务。重启 Agent，然后用自然语言向它提出要求：

• “用 Keysrs 扫描此项目中的 API 密钥。”它会在环境文件中查找凭据格式的 变量，并报告名称和末 4 位提示，绝不显示实际值。
• “导入并封装此项目的密钥。”使用一次 Touch ID，即可将密钥移入 macOS 钥匙串，并将环境文件改写为有效期 30 天的项目令牌。
• “请为密钥 anthropic 申请一项有效期 30 分钟的 Keysrs 授权。”你使用 Touch ID 批准后，Agent 会获得一个仅适用于一个密钥、一个主机且有 时限的令牌。
• “撤销所有授权。”这会立即结束所有授权、项目令牌和中继配对，并 关闭中继。

keys unwrap 会还原原始值。

云 VM

keys gateway on openai                               # once per key
keys client issue openai --label "my vm" --days 7   # a revocable token for the VM
keys tunnel user@my-vm                               # VM reaches the gateway over SSH

在 VM 上，将 Agent 指向 http://127.0.0.1:12767/openai，并将 ksfc_… 令牌用作其 API 密钥。对于无法通过 SSH 连接的沙盒，keys relay 会通过你部署到自己账户中的 Cloudflare Worker 提供同一个网关；keys share "my box" --key openai 则可通过它一次向一台机器提供多个密钥（一个令牌、一次配对，并以环境变量行的形式输出，供复制粘贴）。 请参阅云端 Agent和中继。

使用命令行

keys add                                  # guided: provider, name, hidden secret
keys list
keys grant openai --minutes 30            # a scoped token for a script
keys env openai OPENAI_API_KEY -- python run.py
keys spend --week
keys help                                 # every command

详情请参阅：完整指南、Agent 和 MCP、 云端 Agent和中继。

隐私

• 所有服务仅监听 127.0.0.1。唯一可选的外部访问方式是你部署到自己 Cloudflare 账户中的中继 Worker；密钥绝不会经由它传输。
• 任何工具、日志、屏幕或报告都不会显示密钥值。复制、显示、环境变量和 轮换操作每次都需要 Touch ID。
• Keysrs 只统计通过自有网关发出的调用；它不会读取其他工具的日志。 它绝不会读取 ~/.codex/auth.json、~/.grok/auth.json、 浏览器 Cookie 或提供商网站。
• 此应用不会发送分析数据或遥测信息。
• 更新检查只会向 GitHub 的版本发布 API 发出一次不使用 Cookie 的请求。

从源代码构建

make build                     # signed debug CLI at .build/debug/keys
python3 scripts/build-app.py   # Keysrs.app from the release build
swift test                     # offline; CI's env is in test.yml

签名设置见 SIGNING.md；.github/workflows/test.yml 列出了 CI 运行的全部检查。

Keysrs 曾名为 Keysreallysafe；仓库、钥匙串服务和数据文件夹仍保留该名称，以确保现有安装继续正常工作。

许可

MIT。请参阅 LICENSE 和 第三方声明。