Agent-ready command line

KT CLI

面向远程工作环境的 KT 命令行入口。它负责登录、授权、凭据 bootstrap 和 Agent 操作流程，让敏感 token 不必进入 AI 上下文。

$ kt login --no-browser
Open this URL to authorize:
https://auth.ktcli.com/cli/authorize?session_id=...&user_code=...

$ kt infisical setup --env prod
TokenDelivery: service_token
ServiceToken: configured

$ kt infisical verify --env prod
Infisical 验证通过
Secrets: 164

一个入口，处理 Agent 认证链路

第一版网站聚焦 KT CLI 的安装说明、远程登录说明和 Infisical bootstrap。后续下载、文档和 Skill 副本会拆到独立子域。

远程登录

在没有桌面浏览器的 Agent 环境里生成授权链接，由你在手机或本机浏览器完成登录。

凭据下发

KT 登录态通过后端白名单校验，只把当前环境需要的 Infisical bootstrap 配置写入本机。

上下文隔离

Infisical token、Cloudflare key 和业务 secret 不进入对话上下文，Agent 只看到验证状态。

版本治理

CLI 内置升级检查、release manifest、checksum 校验和破坏性更新提示。

标准使用流程

远程登录和凭据下发被拆成可验证的命令，每一步只暴露状态，不暴露密钥。

安装 KT CLI

第一版会优先覆盖 macOS 和 Linux。下载通道稳定后，这里会切到正式 release 地址。

发起远程登录

CLI 返回授权链接并等待授权完成。你在浏览器完成 KT 账号授权，远程终端只保存登录态。

配置 Infisical

KT 后端完成 subject 白名单校验后，下发当前环境的 bootstrap 配置并写入本机安全目录。

验证而不泄露

验证命令只输出状态和 secret 数量，不输出 secret value。

Infisical bootstrap

KT 账号和 Infisical 通过后端绑定。CLI 只向已授权 subject 下发当前环境需要的配置，并写入本机 `~/.kt/infisical/.yaml`。

对话、日志、仓库和 Skill 文件中都不应出现 service token 或业务 secret value。

安全边界

KT 登录态证明当前操作者身份。
服务端白名单决定哪些 subject 能 bootstrap。
本地配置文件权限必须是 0600。
验证命令只输出状态、数量和错误类型。
读取业务凭据时再进入专门的 Infisical 访问流程。

版本、诊断与升级

KT CLI 使用 `download.ktcli.com/releases/latest.json` 作为版本信息源。普通命令会做轻量更新提醒，失败时不影响主命令执行。

诊断本机环境

检查二进制、登录态、Infisical bootstrap、认证入口和更新通道，只输出状态不输出密钥。

检查更新

读取 release manifest，显示最新版本、最低支持版本、release notes 和破坏性更新提示。

升级 CLI

下载当前系统和架构对应的发布包，校验 sha256 后替换本机 kt 与 kt-auth。

只返回登录链接

适合把授权链接交给其他终端处理；该命令不轮询、不换 token，也不写本机登录态。

Latest: 0.1.1 Minimum supported: 0.1.0 No breaking changes