Infisical v0.166.9 常用 CLI 命令与工具详解
Infisical v0.166.9 自托管配套 CLI 0.44.4 命令详解：apt 新源安装、user 与 Universal Auth 双认证、secrets 增删改查与文件夹、export/run 环境变量注入、scan 泄密扫描全流程实测，附 cloudsmith 迁移与 --domain 必配排障实录。
Infisical v0.166.9 常用 CLI 命令与工具详解
目标：掌握 Infisical CLI（0.44.4）在自托管 Infisical v0.166.9 平台上的完整日常用法——安装、用户与机器身份双认证、
secrets密钥增删改查与文件夹管理、export/run环境变量注入、scan泄密扫描，以及 profile 会话管理。全部命令在 Ubuntu 22.04 服务器上对接自托管 Infisical v0.166.9 实测通过，回显逐条照抄实测输出。
一、环境信息
| 项目 | 值 |
|---|---|
| 服务器操作系统 | Ubuntu 22.04（x86_64） |
| Infisical 平台 | v0.166.9 自托管（部署过程见《Infisical v0.166.9 Docker Compose 部署指南》） |
| 平台访问地址 | http://localhost:8128（服务端口 8128，API 前缀 /api） |
| Infisical CLI | 0.44.4（官方 apt 源 .deb 包安装） |
| 测试组织 | Demo Organization（orgId：e6a1bb71-b765-4dcf-b5f1-94eb9e0ae84b，slug demo-organization-3sp-d） |
| 测试项目 | demo-webapp（projectId：c2bd53b9-dbc8-4c84-a309-007e66c204eb），环境 dev |
| 管理员账号 | admin@example.com |
| 实测日期 | 2026-10-21 |
说明：本文所有 --domain 参数值 http://localhost:8128/api 对应读者自己的 Infisical 服务地址；projectId/orgId 为本次实测环境的真实值，读者需替换为自己的。
二、工具概览
Infisical CLI 是与 Infisical 平台配套的命令行客户端（Go 编写，单二进制），面向开发者在终端与 CI 流水线中消费平台上的密钥。核心能力：
| 能力 | 命令 | 说明 |
|---|---|---|
| 登录认证 | infisical login | 用户账号（SRP 协议）或机器身份（Universal Auth）两种方式 |
| 会话管理 | infisical profile / infisical logout | 多账号 profile 切换、登出并吊销服务端会话 |
| 密钥读写 | infisical secrets | set（upsert）/get/列表/delete/folders/generate-example-env 子命令族 |
| 环境变量注入 | infisical export / infisical run | 导出为 dotenv/json/yaml，或直接以环境变量形式拉起子进程 |
| 泄密扫描 | infisical scan | 基于 gitleaks 引擎扫描目录/git 历史/stdin 中的泄露密钥 |
| 全局旗标 | --domain / --token / --org / --profile | 对接自托管实例、直传访问令牌、指定组织与 profile |
命令族关系：secrets 是最高频入口；export/run 是其「消费侧」变体；机器身份令牌通过 --token 注入任意命令，适配 CI 无人值守场景。
三、前置条件
3.1 平台侧准备
- 已按《Infisical v0.166.9 Docker Compose 部署指南》完成平台部署，服务监听
8128端口，/api/status可访问。 - 已创建管理员账号与测试项目（本文使用
demo-webapp），并在dev环境预置若干密钥。 - 机器身份方式需在平台控制台创建身份并授权（见 §4.5）。
3.2 安装 Infisical CLI（apt 源，实测）
官方 apt 安装源已迁移至 artifacts-cli.infisical.com（旧 cloudsmith 源已停服，排障见 §6.1）：
curl -1sLf 'https://artifacts-cli.infisical.com/setup.deb.sh' | sudo -E bash
sudo apt-get update && sudo apt-get install -y infisical
安装过程实测回显（节选）：
Preparing to unpack .../infisical_0.44.4_amd64.deb ...
Unpacking infisical (0.44.4) ...
Setting up infisical (0.44.4) ...
验证版本（注意：infisical version 不是合法命令，必须用 -v）：
infisical -v
infisical version 0.44.4
3.3 也可用 npm 安装
sudo npm install -g infisical
两种方式二选一即可，本文后续均基于 apt 方式安装的 0.44.4。
四、各工具详解
4.1 infisical login / logout / profile：登录与会话
4.1.1 用户账号登录（--method user）
infisical login --method user \
--email admin@example.com \
--password 'q1w2e3r4q1w2e3r4' \
--domain http://localhost:8128/api \
--organization-id e6a1bb71-b765-4dcf-b5f1-94eb9e0ae84b
实测回显：
Session saved to profile 'admin@example.com--demo-organization-3sp-d' (org Demo Organization). Select it with --profile admin@example.com--demo-organization-3sp-d or INFISICAL_PROFILE=admin@example.com--demo-organization-3sp-d.
Quick links
- Learn to inject secrets into your application at https://infisical.com/docs/cli/usage
- Stuck? Join our slack for quick support https://infisical.com/slack
要点：
--domain必须显式指向自托管 API（含/api后缀），缺省时会回落到 Infisical 云（https://app.infisical.com/api），所有请求 404。--organization-id在账号归属多个组织时必填，单组织账号可省略；该值可从平台控制台组织设置中获取。- 登录成功后 CLI 将会话保存到本地 profile（名称为
<邮箱>--<组织slug>），后续命令自动使用当前 profile。 - 密码需满足平台默认口令策略：至少 14 位且包含字母与数字/特殊字符（策略来源与实测过程见《Infisical v0.166.9 Docker Compose 部署指南》第六节）。
4.1.2 机器身份登录（--method universal-auth）
infisical login --method universal-auth \
--client-id cf7a647a-8285-4d38-aa45-a1794ae46ca3 \
--client-secret f3a57a0554b6266c4b3e85dfeb68121b369ad2994e4a6159975a69be8ed4ea05 \
--domain http://localhost:8128/api
实测回显：
>>>> Successfully authenticated with universal auth!
Access Token:
eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpZGVudGl0eUlkIjoiYTFjNjQ4MjYtZmI5ZS00MzNhLTlhMTQtZGViMTc0YTllOGYzIiwiaWRlbnRpdHlOYW1lIjoiY2ktYm90LWNsaSIsImF1dGhNZXRob2QiOiJ1bml2ZXJzYWwtYXV0aCIsIm9yZ0lkIjoiZTZhMWJiNzEtYjc2NS00ZGNmLWI1ZjEtOTRlYjllMGFlODRiIiwicm9vdE9yZ0lkIjoiZTZhMWJiNzEtYjc2NS00ZGNmLWI1ZjEtOTRlYjllMGFlODRiIiwicGFyZW50T3JnSWQiOiJlNmExYmI3MS1iNzY1LTRkY2YtYjVmMS05NGViOWUwYWU4NGIiLCJjbGllbnRTZWNyZXRJZCI6ImUyYzkxOThkLTA2MWEtNDIxNy04NzBmLTBmODM3MzIwNzNjZCIsImlkZW50aXR5QWNjZXNzVG9rZW5JZCI6IjVhOWZmN2Q3LTUwYzQtNDIxNS05MmIzLTM4NDU5ZTVlMzA4MiIsImlwUmVzdHJpY3Rpb25FbmFibGVkIjp0cnVlLCJhY2Nlc3NUb2tlblRUTCI6MjU5MjAwMCwiYWNjZXNzVG9rZW5NYXhUVEwiOjI1OTIwMDAsImFjY2Vzc1Rva2VuUGVyaW9kIjowLCJjcmVhdGlvbkVwb2NoIjoxNzkyNTgwMTI5LCJhdXRoVG9rZW5UeXBlIjoiaWRlbnRpdHlBY2Nlc3NUb2tlbiIsImlkZW50aXR5QXV0aCI6e30sImlhdCI6MTc5MjU4MDEyOSwiZXhwIjoxNzk1MTcyMTI5LCJqdGkiOiI1YTlmZjdkNy01MGM0LTQyMTUtOTJiMy0zODQ1OWU1ZTMwODIifQ.9IHmN8qW-w7qoHFNxxFbRD-Zn8i_nC3TKmRsipZ031U
You can use this access token to authenticate through other commands in the CLI.
⚠️ 实测关键发现：--method universal-auth 登录只打印 Identity Access Token，不落盘持久会话。登录后执行 infisical profile list 可见该 profile 的 SESSION 列为 none，此时直接执行 infisical secrets ... 会报 error: we couldn't find your logged in details, try running [infisical login] then try again。机器身份的正确用法是把登录输出的令牌通过 --token 旗标（或 INFISICAL_TOKEN 环境变量）传给后续命令，见 §4.5。该令牌默认有效期 30 天（解码 JWT 可见 accessTokenTTL: 2592000）。
4.1.3 profile 列表与登出
infisical profile list
CURRENT NAME EMAIL ORGANIZATION SESSION DOMAIN DIRECTORY SCOPES
* admin@example.com--demo-organization-3sp-d admin@example.com Demo Organization none http://localhost:8128 -
SESSION 列为 none 表示当前 profile 没有持久化的用户会话（机器身份登录不落盘；或会话已登出）。
infisical logout
Logged out of profile 'admin@example.com--demo-organization-3sp-d' and revoked its session on the server.
Profiles are kept so you can sign back in with [infisical login --profile <name>]. Remove one entirely with [infisical profile delete <name>].
logout 会同时吊销服务端会话并清空本地凭据；profile 定义保留，可随时重新 login 恢复。
4.2 infisical secrets：密钥增删改查
secrets 子命令族是 CLI 的核心。以下示例均以机器身份令牌方式执行（$T 为 §4.1.2 登录输出的 Identity Access Token，$A 为公共参数 --token "$T" --domain http://localhost:8128/api，$P 为 projectId）。
4.2.1 列出项目全部密钥
infisical secrets --projectId c2bd53b9-dbc8-4c84-a309-007e66c204eb --token "$T" --domain http://localhost:8128/api
┌──────────────┬────────────────────────────────────────────┬─────────────┐
│ SECRET NAME │ SECRET VALUE │ SECRET TYPE │
├──────────────┼────────────────────────────────────────────┼─────────────┤
│ API_KEY │ sk-test-67890 │ shared │
│ DATABASE_URL │ postgres://app:secret@db.internal:5432/app │ shared │
│ EMAIL_FROM │ noreply@example.com │ shared │
└──────────────┴────────────────────────────────────────────┴─────────────┘
默认列出 dev 环境、路径 / 下全部共享（shared）密钥。常用参数：
| 参数 | 说明 |
|---|---|
--env <name> | 选择环境，默认 dev |
--path <path> | 选择密钥文件夹路径，默认 / |
--output <fmt> | 输出格式 yaml/json/dotenv |
--expand | 展开 shell 参数展开式与引用的密钥（默认开启） |
--include-imports | 包含导入的密钥（默认开启） |
JSON 输出实测（--output json）：
[{"secretKey":"API_KEY","secretValue":"sk-test-67890"},{"secretKey":"DATABASE_URL","secretValue":"postgres://app:secret@db.internal:5432/app"},{"secretKey":"EMAIL_FROM","secretValue":"noreply@example.com"}]
4.2.2 写入与更新密钥（secrets set，upsert 语义）
infisical secrets set CACHE_TTL=60 --projectId $P $A
┌─────────────┬──────────────┬────────────────┐
│ SECRET NAME │ SECRET VALUE │ STATUS │
├─────────────┼──────────────┼────────────────┤
│ CACHE_TTL │ ****** │ SECRET CREATED │
└─────────────┴──────────────┴────────────────┘
重复执行同名写入即更新（upsert），实测：
infisical secrets set CACHE_TTL=120 --projectId $P $A
┌─────────────┬──────────────┬───────────────────────┐
│ SECRET NAME │ SECRET VALUE │ STATUS │
├─────────────┼──────────────┼───────────────────────┤
│ CACHE_TTL │ ****** │ SECRET VALUE MODIFIED │
└─────────────┴──────────────┴───────────────────────┘
⚠️ 0.44.4 的 set 只接受 key=value 内联格式（或 key=@filepath 从文件读值），旧版常见的 secrets set KEY value 空格传值形式会报错；secrets update 子命令在 0.44.x 中已移除，set 即更新：
error: invalid argument format: CACHE_TTL. Expected format: key=value or key=@filepath
4.2.3 读取单个密钥（secrets get）
infisical secrets get DATABASE_URL --projectId $P $A
┌──────────────┬────────────────────────────────────────────┬─────────────┐
│ SECRET NAME │ SECRET VALUE │ SECRET TYPE │
├──────────────┼────────────────────────────────────────────┼─────────────┤
│ DATABASE_URL │ postgres://app:secret@db.internal:5432/app │ shared │
└──────────────┴────────────────────────────────────────────┴─────────────┘
脚本取值用 --plain（仅输出值本身，注意帮助信息已标注 deprecated，推荐 --output）：
infisical secrets get DATABASE_URL --projectId $P $A --plain
postgres://app:secret@db.internal:5432/app
4.2.4 删除密钥（secrets delete）
⚠️ 实测：默认 delete 针对个人（personal）密钥，机器身份令牌执行会直接报错：
infisical secrets delete CACHE_TTL --projectId $P $A
Request: DELETE http://localhost:8128/api/v3/secrets/raw/CACHE_TTL
Instance: http://localhost:8128
Request ID: req-M5jnsX8gSUFwua
Response Code: 400 Bad Request
Message: Must be user to delete personal secret
Context:
Please make sure your secret path, workspace and environment name are all correct.
• Unable to complete your delete request
If this issue continues, get support at https://infisical.com/slack
必须显式指定 --type shared 删除共享密钥：
infisical secrets delete CACHE_TTL --type shared --projectId $P $A
secret name(s) [CACHE_TTL] have been deleted from your project
4.3 infisical export / run：环境变量注入
4.3.1 导出为 dotenv（infisical export）
infisical export --projectId $P $A --format dotenv
API_KEY='sk-test-67890'
CACHE_TTL='120'
DATABASE_URL='postgres://app:secret@db.internal:5432/app'
EMAIL_FROM='noreply@example.com'
--format 支持 dotenv/json/yaml/template 等；配合 > .env 即可生成应用配置文件。
4.3.2 以密钥为环境变量拉起进程（infisical run）
infisical run --projectId $P $A -- env | grep -E 'DATABASE_URL|API_KEY'
API_KEY=sk-test-67890
DATABASE_URL=postgres://app:secret@db.internal:5432/app
run 把当前环境全部密钥注入子进程环境变量后执行 -- 后的命令，是本地开发与 CI 注入密钥的标准姿势。
4.3.3 生成示例 env 文件（secrets generate-example-env）
infisical secrets generate-example-env --projectId $P $A
API_KEY=
CACHE_TTL=
DATABASE_URL=
EMAIL_FROM=
按项目现有密钥名生成空模板，方便整理 .env.example 提交代码库。
4.4 infisical secrets folders：密钥文件夹管理
⚠️ folders 子命令不接受 --projectId/--token/--domain 旗标（Error: unknown flag: --projectId），统一通过环境变量提供上下文：
export INFISICAL_TOKEN="$T"
export INFISICAL_PROJECT_ID=c2bd53b9-dbc8-4c84-a309-007e66c204eb
export INFISICAL_DOMAIN=http://localhost:8128/api
创建文件夹：
infisical secrets folders create --name reports
folder named `reports` created in path /
⚠️ 注意创建文件夹必须用 --name 旗标传名，位置参数形式 folders create billing 会报 invalid folder name；同名重复创建报 400：
Request: POST http://localhost:8128/api/v1/folders
Instance: http://localhost:8128
Request ID: req-RRc5nDZ9nQpV14
Response Code: 400 Bad Request
Message: Folder with name 'billing' already exists in path '/'
• Unable to create folder
If this issue continues, get support at https://infisical.com/slack
列出文件夹（folders get）：
infisical secrets folders get
┌─────────────┬──────┬──────────────────────────────────────┐
│ FOLDER NAME │ PATH │ FOLDER ID │
├─────────────┼──────┼──────────────────────────────────────┤
│ billing │ / │ 1538579c-efcc-4bc3-bff3-b44d719bcc88 │
│ reports │ / │ 7133d46f-09a5-428e-a6af-9d76cb70a9e1 │
└─────────────┴──────┴──────────────────────────────────────┘
配合 secrets --path /billing、secrets set KEY=value --path /billing 即可在文件夹维度读写密钥。
4.5 机器身份（Universal Auth）接入：CI 无人值守标准链路
机器身份用于 CI/CD、脚本等无人工场景。完整链路分三步：创建身份 → 授予项目成员资格 → 令牌方式调用 CLI。
4.5.1 创建身份与获取凭据
在平台控制台：组织设置 → Machine Identities → 创建身份（本文命名 ci-bot-cli），认证方式选择 Universal Auth，创建后得到 Client ID / Client Secret（Client Secret 仅签发时可见）。角色需为组织级 Admin 才能创建身份。
（API 层实测勘误，供走 API 的读者参考：创建身份的正确端点是 POST /api/v1/identities（请求体含 organizationId），而非 /api/v1/organizations/{orgId}/identities（该路径 404）；为身份启用 Universal Auth 时 POST /api/v1/auth/universal-auth/identities/{identityId} 传空 JSON 体 {} 即可（带 IP 白名单字段属于付费计划能力，免费版传 ipAddress: "*" 会报 400 plan restriction）；attach 的响应体不含 Client Secret，需再调 POST /api/v1/auth/universal-auth/identities/{identityId}/client-secrets 签发。）
4.5.2 授予项目成员资格
身份创建后默认只挂在组织下，必须加入目标项目才能读密钥：控制台进入项目 demo-webapp → 项目设置 → Machine Identity Members → 添加 ci-bot-cli，角色 Member。未授权时以身份令牌执行 secrets 会得到 403 权限错误。
4.5.3 令牌直传调用（--token）
T=$(infisical login --method universal-auth \
--client-id cf7a647a-8285-4d38-aa45-a1794ae46ca3 \
--client-secret f3a57a0554b6266c4b3e85dfeb68121b369ad2994e4a6159975a69be8ed4ea05 \
--domain http://localhost:8128/api | grep -A1 "Access Token:" | tail -1)
infisical secrets get DATABASE_URL \
--projectId c2bd53b9-dbc8-4c84-a309-007e66c204eb \
--token "$T" --domain http://localhost:8128/api --plain
postgres://app:secret@db.internal:5432/app
CI 脚本标准模式：login 输出中抓取 Access Token: 的下一行赋给变量，后续命令全部 --token 直传。--token 与 --domain 必须成对出现——省略 --domain 时请求会落到默认云域名（https://app.infisical.com/api）并 404。
4.5.4 服务令牌（st. 前缀）方式
平台控制台项目设置 → Service Tokens 亦可签发 st. 前缀的长期服务令牌，用法与机器身份令牌一致（--token "st.开头的服务令牌" --domain <API地址>），适合单项目只读场景；实测同样遵守「--token 必配 --domain」约定。生产建议优先使用可自动轮换的 Universal Auth 机器身份。
4.6 infisical scan：敏感信息泄露扫描
scan 内置 gitleaks 规则引擎，支持目录、git 历史与 stdin 三种来源。
准备一个含植入测试密钥的目录（密钥为公开测试样例值）：
mkdir -p ~/demo-webapp && cd ~/demo-webapp
printf "AWS_ACCESS_KEY_ID=AKIALALEMEL33243OLIA\nAWS_SECRET_ACCESS_KEY=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\n" > aws.env
目录扫描（--no-git：不要求 git 仓库；--verbose：输出命中详情）：
infisical scan --no-git --verbose
2026-10-21T10:56:54Z INF scanning for exposed secrets...
Finding: AWS_ACCESS_KEY_ID=AKIALALEMEL33243OLIA
Secret: AKIALALEMEL33243OLIA
RuleID: aws-access-token
Entropy: 3.084184
Attributes:
confidence: high
path: aws.env
resource: fs.content
Line: 1
Fingerprint: aws.env:aws-access-token:1
Components:
- aws-secret-access-key:2: eWxXElgUk1dJ8WgWPeFJtNbcXmQIHzwJLXvJmL8s
2026-10-21T10:56:54Z INF scan completed in 10.9ms
2026-10-21T10:56:54Z WRN leaks found: 1
行为要点：
- 扫到泄露时进程退出码为 1（
--exit-code可自定义，默认 1），可直接作为 CI 卡点：infisical scan --no-git || exit 1。 - 默认扫当前目录 git 历史；非 git 目录需加
--no-git，否则报FTL could not create Git cmd error="exec: \"git\": executable file not found in $PATH"（机器未装 git 时同样如此，先apt-get install -y git或用--no-git）。 - 常用旗标：
--redact（日志中打码泄露值）、-f json -r report.json（产出报告，格式支持json/csv/sarif）、--pipe（从 stdin 扫描，如cat file | infisical scan --pipe）。 - 子命令
infisical scan git-changes只扫未提交变更，适合提交前自查；infisical scan install安装 pre-commit 扫描脚本。
五、注意事项
--domain是自托管场景第一参数：除login外，secrets/export/run/scan全部支持--domain；任何不带显式域名的调用都可能回落默认云地址导致 404。也可用环境变量INFISICAL_DOMAIN全局指定。--token与--domain成对出现：--token直传模式不查 profile，域名缺省即落云域名。用户会话模式下则相反——不要再传--token，二者混用会以--token为准。- 机器身份登录不落盘：
--method universal-auth只打印令牌；无人值守脚本应从输出中捕获令牌传给--token，或用INFISICAL_TOKEN环境变量。 - 写值格式：
secrets set只收key=value与key=@filepath两种形式；update子命令已移除，set即 upsert（SECRET CREATED/SECRET VALUE MODIFIED区分）。 - 删除密钥必须
--type shared（操作共享密钥时）：默认类型 personal，机器身份令牌执行默认删除会 400。 folders族不吃项目旗标：用INFISICAL_PROJECT_ID/INFISICAL_TOKEN/INFISICAL_DOMAIN环境变量提供上下文。- 令牌即密钥：Identity Access Token 有效期 30 天、Client Secret 仅签发时可见、服务令牌长期有效；避免把任何令牌写进 shell history 或仓库文件，CI 中一律走环境变量注入。
- 密码与账号：管理员账号密码受平台默认口令策略约束（≥14 位、含字母与数字/特殊字符、≤3 连续重复字符），CLI
login传参时需与平台侧一致。 - 遥测：CLI 默认上报匿名使用数据，生产环境可设
INFISICAL_TELEMETRY_ENABLED=false或命令行加--telemetry=false关闭。
六、常见问题
Q1：按旧教程添加 cloudsmith 源后 apt-get install infisical 报 E: Unable to locate package infisical？
旧安装源 dl.cloudsmith.io/public/infisical/infisical-cli 已停止服务（请求 404），官方已于 2026-09 迁移至 artifacts-cli.infisical.com。清理旧源文件后按 §3.2 用新源重装即可。
Q2：所有命令都报 404，URL 里出现 app.infisical.com？
--domain 未传或传错（自托管 API 地址必须带 /api 后缀，如 http://localhost:8128/api）。CLI 把请求发到了默认云域名。排查顺序：login 是否带 --domain → 命令是否漏带 --token 模式下的 --domain → 是否可用 INFISICAL_DOMAIN 统一兜底。
Q3：infisical login --method universal-auth 成功，随后命令报 error: we couldn't find your logged in details, try running [infisical login] then try again？
机器身份登录不持久化会话（profile list 中 SESSION 为 none）。从登录输出捕获 Access Token，用 --token "$T" --domain ... 执行命令，或设置 INFISICAL_TOKEN/INFISICAL_PROJECT_ID/INFISICAL_DOMAIN 三个环境变量。
Q4：secrets set KEY value 报 error: invalid argument format？
0.44.4 只支持 KEY=value 内联或 KEY=@/path/to/file 两种格式；改用等号形式。旧版的 secrets update 已删除，更新直接再次 set 同名密钥。
Q5：secrets delete 报 400 Must be user to delete personal secret？
默认删除目标是个人密钥，机器身份没有个人密钥。删除共享密钥加 --type shared。
Q6：secrets folders create 报 invalid folder name？
文件夹名必须走 --name 旗标：infisical secrets folders create --name billing；同时确认已用环境变量提供项目上下文。
Q7：infisical scan 报 FTL could not create Git cmd？
当前目录不是 git 仓库或机器未安装 git。非 git 目录加 --no-git；需要扫 git 历史则先 sudo apt-get install -y git。
Q8：infisical version 报 unknown command "version"？
查看版本用 infisical -v（或 infisical --version），无 version 子命令。
Q9：CI 里身份令牌调用 secrets 返回 403？
机器身份未加入目标项目。在项目设置 → Machine Identity Members 中添加该身份并授予 Member 及以上角色（见 §4.5.2）。
七、参考链接
- Infisical CLI 官方文档：
https://infisical.com/docs/cli/overview - CLI secrets 命令参考：
https://infisical.com/docs/cli/commands/secrets - 机器身份与 Universal Auth：
https://infisical.com/docs/documentation/platform/identities/universal-auth - 泄密扫描 scan：
https://infisical.com/docs/cli/commands/scan - 安装源（deb/rpm/npm）：
https://infisical.com/docs/cli/overview#installation - 相关文档：《Infisical 介绍与选型指南》（平台能力全景）、《Infisical v0.166.9 Docker Compose 部署指南》（平台部署与排障）、《Infisical v0.166.9 配置参数详解》（服务端参数）