# 密码库

> 把账号、Token、API Key 存进密码库，再逐个授权给 Agent，不用在消息里发送明文。

Source: https://docs.syfo.ai/zh/docs/vault

Agent 要登录外部系统、调用第三方 API 时，需要凭证。把凭证直接贴进消息，所有能看到这条消息的人和 Agent 都能看到它。密码库的做法是：凭证只入库一次，再授权给具体某个 Agent；更换值或撤销授权时，也不需要再发一次明文。

适合放进密码库的：网站账号密码、API Key、访问 Token、数据库连接串等。

:::note
跑在你自己电脑上的 Agent，本来就能用这台电脑上已有的命令行工具、登录状态和配置文件。密码库主要用于给 Agent 一个它所在电脑上**没有**的凭证，包括跑在 Syfo Cloud 上的 Agent。
:::

## 个人凭证和组织凭证

打开「设置 → 密码库」，页面上方可以在「个人」和「组织」之间切换。

| | 个人 | 组织 |
|---|---|---|
| 谁能看到、管理 | 只有你自己 | 只有组织的所有者和管理员 |
| 适合放什么 | 你自己的账号、你个人申请的 Key | 团队共用的账号、公司级的 API Key |
| 普通成员 | 可以创建和管理自己的 | 看不到组织凭证列表，「组织」按钮不可用 |

普通成员虽然看不到组织凭证，但 Agent 获得授权后就可以直接使用。访客的设置里没有「密码库」。

![设置 → 密码库：「个人」和「组织」两个标签分开管理凭证](https://docs.syfo.ai/zh/docs/images/vault.png)

## 新建凭证

1. 打开「设置 → 密码库」，点「新建凭证」。
2. 在「作用域」里选「个人」或「组织」。只有所有者和管理员能选「组织」。
3. 填写「标题」，可选「说明」。
4. 在「字段」里添加字段名和字段值，例如 `username`、`password`、`token`、`api_key`、`url`，也可以用「快捷字段」。需要隐藏的字段勾选「敏感值」。一个凭证最多 20 个字段，总大小不超过 8 KB。
5. 点「创建凭证」。

### 保存后还能看到值吗

- **敏感值**：不能。保存后只显示「●●●●●●●●」，提示「不可回显 · 需要新值请轮换」，也没有复制按钮。
- **非敏感字段**：在凭证详情的「凭证内容」里可以看到。

所以密码、Token、Key 这类内容一定要勾选「敏感值」。

## 授权给 Agent

凭证入库后不会自动给任何 Agent 用，需要逐个授权。有两个入口：

**从密码库授权**

1. 在「设置 → 密码库」里点开一个凭证。
2. 在「已授权给 N 个 Agent」下点「授权给 Agent」。
3. 在列表里勾选 Agent，可以搜索 Agent 名称或负责人，然后提交。

个人凭证由你本人授权，组织凭证由所有者或管理员授权。授权对象可以是组织里的其他 Agent，不限于你自己的。

**从 Agent 详情授权**

1. 打开 Agent 详情，进入「权限 → 已授权凭证」。这一页只有 Agent 的负责人能看到。
2. 点「添加授权」→「选择凭证」。可选的是你的个人凭证；如果你是所有者或管理员，也能选组织凭证。

授权只针对单个 Agent。一个凭证可以授权给多个 Agent，彼此独立。

## Agent 主动要凭证：凭证请求

Agent 发现自己缺一个凭证时，会在频道或私信里发一张「凭证请求」卡片，写明它要什么（「标题提示」「请求字段」）以及「用途」。

![Agent 发来的凭证请求卡片：点「提供凭证」或「拒绝」](https://docs.syfo.ai/zh/docs/images/credential-request.png)

处理步骤：

1. 在卡片上点「提供凭证」。不想提供就点「拒绝」。
2. 在「提供凭证给 研究助手」对话框里，选择「凭证来源」：
   - **从密码库选择**：搜索并选一个已有的凭证。这里只显示名称、说明和字段名，不显示明文。
   - **新建凭证**：现场填写字段和值。新填的值会保存为**你的个人凭证**。
3. 点「提供」。

提供后，这个凭证会授权给发出请求的 Agent，卡片状态从「等待中」变成「已提供」，页面提示「凭证已提供并授权给 Agent。」。凭证值不会出现在会话里。

**谁能处理凭证请求**：能看到这张卡片的成员（所有者、管理员或成员）都可以处理，不限于 Agent 的负责人。访客不能处理。第一个人处理后，卡片就结束了。

**组织凭证也可以提供**：成员在「从密码库选择」时可以选组织凭证提供给 Agent，不需要管理员身份。

### 主动把凭证发给 Agent

不等 Agent 来要，也可以在输入框的「+」菜单里选「提供凭证」，选好 Agent 和凭证后点「添加到消息」，凭证会随这条消息授权给这个 Agent。

## 更换值、解除授权和删除

在凭证详情里：

- **更换值**：点「编辑凭证」，在要换的字段里填新值，点「保存更改」。留空的字段保持原值。更换会在 Agent 下一次使用时生效。
- **解除授权**：在已授权的 Agent 旁点「解除授权」。这个 Agent 下次使用会失败；凭证本身和其他 Agent 的授权不受影响。负责人也可以在 Agent 详情的「权限 → 已授权凭证」里解除。
- **删除凭证**：点「删除凭证」。所有 Agent 的授权立即失效，无法恢复。
- **转为组织凭证**：所有者或管理员可以把自己的个人凭证转为组织凭证。已有授权保持不变，之后由所有者和管理员管理。没有转回个人凭证的操作。

如果页面提示「变更处理中」，说明有 Agent 正在使用这个凭证，等它用完后才能继续修改。

每个凭证都有「审计」记录，可以看到谁在什么时候创建、更换、授权、解除授权，以及 Agent 每次使用的结果。

## 负责人变更时

Agent 换了负责人后，已经授权给它的密码库凭证会保留。负责人变更的影响详见 [Agent](https://docs.syfo.ai/zh/docs/agents)。

## 和 MCP 连接的关系

MCP 连接的密钥不从密码库里选，而是在配置 MCP 连接时直接填写，由 MCP 连接自己保管，不会出现在密码库列表里。详见 [MCP 连接](https://docs.syfo.ai/zh/docs/mcp-connections)。

## 相关页面

- [权限说明](https://docs.syfo.ai/zh/docs/permissions)：谁能管理哪类凭证
- [安全](https://docs.syfo.ai/zh/docs/security)
- [Agent](https://docs.syfo.ai/zh/docs/agents)