OneCLI

AI Agent 的密钥保险库。 一次存储，随处注入。Agent 永远无法接触到真实的密钥。

网站 · 文档 · Discord

---

什么是 OneCLI？

OneCLI 是一个开源网关，位于你的 AI Agent 和它们所调用的服务之间。无需将 API 密钥硬编码到每个 Agent 中，你只需将凭据存储在 OneCLI 中，网关就会透明地进行注入。Agent 永远无法获取到这些密钥。

我们为何构建它： AI Agent 需要调用数十种 API，但将原始凭据交给每个 Agent 存在安全风险。OneCLI 通过一个处理身份验证的单一网关解决了这个问题，因此你可以在一个地方集中管理权限、轮换密钥，并监控每个 Agent 的行为。

工作原理： 你将真实的 API 凭据存储在 OneCLI 中，并给 Agent 提供占位符密钥（例如 FAKE_KEY）。当 Agent 通过网关发起 HTTP 请求时，OneCLI 网关会将请求与正确的凭据进行匹配，将 FAKE_KEY 替换为 REAL_KEY，解密后注入到发出的请求中。Agent 从不触碰真实的密钥。它只是发起普通的 HTTP 调用，而网关负责处理替换过程。

架构

• Rust Gateway：高性能 HTTP 网关，用于拦截出站请求并注入凭据。Agent 通过 Proxy-Authorization 请求头进行身份验证。
• Web Dashboard：用于管理 Agent、密钥和权限的 Next.js 应用。它为网关提供 API，以便网关确定每次请求应注入哪些凭据。
• Secret Store：基于 AES-256-GCM 加密的凭据存储。密钥仅在请求时解密，通过主机名和路径模式进行匹配，并由网关作为请求头注入。

快速入门

在本地运行 OneCLI 的最快方法：

git clone https://github.com/onecli/onecli.git
cd onecli
docker compose -f docker/docker-compose.yml up

打开 **http://localhost:10254**，创建一个 Agent，添加你的密钥，并将 Agent 的 HTTP 网关指向 localhost:10255。

特性

• 透明凭据注入：Agent 进行普通的 HTTP 调用，由网关处理认证。
• 加密密钥存储：静态存储采用 AES-256-GCM 加密，仅在请求时解密。
• 主机与路径匹配：通过模式匹配将密钥路由到正确的 API 端点。
• 多 Agent 支持：每个 Agent 拥有各自带有作用域权限的访问令牌。
• 易于设置：使用 docker compose -f docker/docker-compose.yml up 即可启动所有服务（应用 + PostgreSQL）。
• 两种认证模式：本地使用（单用户，无需登录）或团队使用（Google OAuth）。
• Rust 网关：高性能、内存安全的 HTTP 网关，支持 HTTPS 的中间人拦截。
• Vault 集成：连接 Bitwarden（或其他密码管理器）以实现按需凭据注入，无需将密钥存储在服务器上。

项目结构

apps/
  web/            # Next.js 应用 (仪表板 + API, 端口 10254)
  gateway/        # Rust 网关 (凭据注入, 端口 10255)
packages/
  db/             # Prisma ORM + 迁移文件
  ui/             # 共享 UI 组件 (shadcn/ui)
docker/
  Dockerfile      # 应用镜像 (网关 + Web)
  docker-compose.yml

本地开发

前置要求

• mise (用于安装 Node.js, pnpm 及其他工具)
• Rust (用于网关)
• Docker (用于 PostgreSQL)

设置

mise install
pnpm install
cp .env.example .env
pnpm db:generate
pnpm db:up          # 启动 PostgreSQL
pnpm db:migrate     # 执行数据库迁移
pnpm dev

仪表板地址为 **http://localhost:10254**，网关地址为 **http://localhost:10255**。

命令

命令	描述
pnpm dev	在开发模式下启动 Web + 网关
pnpm build	生产环境构建
pnpm check	代码检查 + 类型检查 + 格式化
pnpm db:up	启动 PostgreSQL (Docker)
pnpm db:down	停止 PostgreSQL
pnpm db:generate	生成 Prisma 客户端
pnpm db:migrate	执行数据库迁移
pnpm db:studio	打开 Prisma Studio

配置

本地开发时，所有环境变量均为可选：

变量	描述	默认值
DATABASE_URL	PostgreSQL 连接字符串	见 .env.example
NEXTAUTH_SECRET	启用 Google OAuth (多用户)	单用户模式
GOOGLE_CLIENT_ID	Google OAuth 客户端 ID	—
GOOGLE_CLIENT_SECRET	Google OAuth 客户端密钥	—
SECRET_ENCRYPTION_KEY	AES-256-GCM 加密密钥	自动生成

贡献

我们欢迎各位贡献代码！请阅读我们的 贡献指南。