test3

Integracja KeePassXC z Cursorem do bezpiecznego zarządzania sekretami (hasła, tokeny API, klucze SSH)

Security Scan

Instrukcje wyglądają sensownie dla integracji KeePassXC z agenta, ale SKILL.md odwołuje się do skryptów, zmiennych i zachowań, które nie są zadeklarowane ani dostarczone, więc pakiet jest niekompletny i wymaga sprawdzenia przed użyciem.

Purpose & Capability

Nazwa i opis odpowiadają treści SKILL.md — celem jest integracja KeePassXC z Cursorem i użycie keepassxc-cli, keyring i SSH agent. Jednak metadata deklaruje brak wymaganych env vars i plików, a dokumentacja odwołuje się do konkretnych skryptów (~/.cursor/scripts/*.sh, scripts/keepass_ops.py) i do zmiennej KEEPASS_DB_PATH, które nie są zadeklarowane ani dostarczone przez skill. To wygląda na niekompletność (brakujący instalator/skrypty), nie na oczywiste złośliwe działanie.

Instruction Scope

Instrukcje nakazują odczytywanie i zapisywanie hasła bazy do systemowego keyringu oraz wywoływanie lokalnych skryptów i keepassxc-cli. SKILL.md sugeruje uruchamianie skryptu save-keepass-password-to-keyring.sh i get-keepass-secret.sh, lecz te pliki nie są dołączone — jeśli agent spróbuje je uruchomić, polecenia nie będą istniały. Niektóre przykłady (np. echo "hasło" | keepassxc-cli ...) mogą prowadzić do ujawnienia hasła w historii powłoki lub procesach; instrukcje nie ostrzegają wystarczająco przed takim ryzykiem.

Install Mechanism

Brak specyfikacji instalacji (instruction-only) minimalizuje ryzyko złośliwego binarnego instalowania się. Jednak SKILL.md zakłada istnienie skryptów i plików dokumentacji (~/.cursor/scripts, scripts/, ~/.cursor/doc) bez dostarczenia ich lub mechanizmu instalacji — to nieproporcjonalne do zadeklarowanej "braku wymagań" i może powodować niepowodzenia w działaniu.

Credentials

Registry metadata mówi, że nie są wymagane env vars, ale SKILL.md wymienia KEEPASS_DB_PATH jako konfigurowalną zmienną środowiskową i podaje przykładowe ścieżki. Ponadto instrukcje opisują użycie PowerShell SecretManagement i secret-tool do przechowywania hasła bazy — to wymaga uprawnień do systemowego keyringu, co jest proporcjonalne do celu, ale powinno być jawnie zadeklarowane. Niezgodność między dokumentacją a deklaracją wymagań to ryzyko błędnej konfiguracji lub nieświadomego udzielenia dostępu.

Persistence & Privilege

Skill nie żąda 'always: true' ani instalacji demonów; domyślne uprawnienia modelu są zachowane. Jako instruction-only nie utrzymuje trwałych uprawnień ani modyfikacji systemowych według dostarczonych materiałów.

What to consider before installing

Ten skill opisuje sensowny sposób integracji KeePassXC z lokalnym keyringiem i SSH agentem, ale pliki/skrypty, które SKILL.md zakłada (np. ~/.cursor/scripts/get-keepass-secret.sh, save-keepass-password-to-keyring.sh, scripts/keepass_ops.py) nie są dołączone ani instalowane. Przed instalacją/uruchomieniem: 1) Poproś autora o dostarczenie skryptów i mechanizmu instalacji lub opublikowany kod źródłowy do przeglądu; 2) Upewnij się, że KEEPASS_DB_PATH jest rzeczywiście ustawiony i zadeklarowany; 3) Sprawdź, które polecenia będą uruchamiane lokalnie (np. czy skrypty logują/wysyłają dane z bazy na zewnątrz); 4) Nie uruchamiaj przykładowych poleceń z hasłem w jawnej postaci (echo "haslo" ...) — użyj bezpiecznego stdin lub keyringów; 5) Jeśli nie otrzymasz brakujących plików lub wyjaśnień, traktuj ten skill jako niekompletny i niepowierzaj mu dostępu do sekretów ani keyringa. Jeśli chcesz, mogę zrewidować dostarczone skrypty pod kątem niepożądanej transmisji danych lub uprawnień.

Skill: KeePassXC Integration

KeePassXC is a local password manager: it stores entries (Title, Username, Password, URL, Notes) in an encrypted .kdbx database. There is no cloud API; the database is a single file. Access is via GUI or keepassxc-cli.

Activation Gate

Użyj tego skill gdy:

• Użytkownik potrzebuje pobrać sekret z bazy KeePassXC (hasło, token API, klucz SSH)
• Użytkownik chce użyć keepassxc-cli do zarządzania sekretami
• Użytkownik pyta o konfigurację KeePassXC z Cursorem

Before implementing KeePassXC features, verify architecture:

• Keyring (SecretManagement/secret-tool) = database password ONLY
• KeePassXC database = ALL secrets (passwords, tokens, keys)
• No file-based fallbacks

Przegląd

Ten skill umożliwia bezpieczne zarządzanie sekretami przez KeePassXC z poziomu Cursora. Używa osobnej bazy cursor.kdbx z hasłem przechowywanym w PowerShell SecretManagement, SSH Agent dla kluczy SSH, oraz keepassxc-cli dla innych sekretów.

Struktura danych w bazie

• Grupy: używaj hierarchii {project_name}/{env_name} (np. myapp/prod, myapp/dev). Ścieżka wpisu w CLI to np. ProjectName/EnvName/EntryTitle.
• Wpisy: pole Title = nazwa sekretu (np. "GitHub Token", "API Key"); pole Password = wartość sekretu. Dla API key trzymaj wartość w Password, opcjonalnie Username = "api".
• Po co: spójna struktura umożliwia check-before-add (unikanie duplikatów) i skrypty oparte na ścieżce.

Konfiguracja

Zmienne środowiskowe

• KEEPASS_DB_PATH - ścieżka do bazy Cursor (ustawiona w ~/.profile i ~/.bashrc)
  • WSL: /mnt/c/Users/janja/OneDrive/Dokumenty/Inne/cursor.kdbx
  • Windows: C:\Users\janja\OneDrive\Dokumenty\Inne\cursor.kdbx

Hasło bazy

Hasło bazy jest przechowywane w:

• PowerShell SecretManagement (główna metoda, pozwala na odczyt, dostępne z Windows i WSL)
• secret-tool (opcjonalny fallback dla WSL, jeśli D-Bus dostępny)
• Windows Credential Manager (backup, tylko zapis, nie można odczytać programatycznie)

WAŻNE:

• SecretManagement/secret-tool przechowują TYLKO hasło bazy KeePassXC, nie hasła z bazy
• Wszystkie sekrety (hasła, tokeny API, klucze SSH) są przechowywane wyłącznie w bazie KeePassXC
• Nie ma fallbacku do pliku - wszystkie metody używają bezpiecznych mechanizmów keyring

Hasło jest automatycznie zapisywane przez skrypt save-keepass-password-to-keyring.sh gdy baza jest otwarta w GUI.

Użycie

Podstawowe komendy

Pobieranie sekretu przez skrypt pomocniczy

# Pobierz hasło z wpisu
~/.cursor/scripts/get-keepass-secret.sh "Entry Title" "Password"

# Pobierz token API
~/.cursor/scripts/get-keepass-secret.sh "GitHub Token" "Token"

# Pobierz dowolny atrybut
~/.cursor/scripts/get-keepass-secret.sh "Entry Title" "Attribute Name"

Bezpośrednie użycie keepassxc-cli

# Lista wszystkich wpisów
keepassxc-cli ls "$KEEPASS_DB_PATH"

# Wyświetl szczegóły wpisu
keepassxc-cli show "$KEEPASS_DB_PATH" "Entry Title"

# Pobierz konkretny atrybut
keepassxc-cli show -a "Password" "$KEEPASS_DB_PATH" "Entry Title"

# Pobierz hasło (interaktywnie, jeśli nie jest w SecretManagement)
echo "hasło" | keepassxc-cli show -a "Password" "$KEEPASS_DB_PATH" "Entry Title"

Zapisywanie hasła do keyring

# Uruchom skrypt (wymaga otwartej bazy w GUI)
~/.cursor/scripts/save-keepass-password-to-keyring.sh

Dodawanie i aktualizacja wpisów

Obowiązkowy workflow przed zapisem (check-before-add): Zawsze sprawdź, czy grupa i wpis istnieją; nie dodawaj duplikatu.

1. Sprawdzenie: keepassxc-cli ls "$KEEPASS_DB_PATH" "ProjectName/EnvName" (ew. -R) lub keepassxc-cli locate "$KEEPASS_DB_PATH" "EntryTitle" — czy wpis już jest?
2. Jeśli wpis istnieje → użyj edit, nie add: keepassxc-cli edit "$KEEPASS_DB_PATH" "ProjectName/EnvName/EntryTitle" (opcje -t, -u, --url, -p/-g dla hasła).
3. Jeśli brak grupy → najpierw mkdir: keepassxc-cli mkdir "$KEEPASS_DB_PATH" "ProjectName/EnvName".
4. Jeśli wpisu nie ma → add: keepassxc-cli add "$KEEPASS_DB_PATH" "ProjectName/EnvName/EntryTitle" z -u username, --url (opcjonalnie), -p (prompt hasła) lub -g (generuj hasło).

Komendy keepassxc-cli: add, edit, show, ls, locate, mkdir, rm. Ograniczenia: w wielu wersjach CLI add i edit nie obsługują custom attributes ani Notes; tylko Title, Username, URL, Password.

Scenariusze:

• Odczyt: istniejący skrypt get-keepass-secret lub keepassxc-cli show (ścieżka lub tytuł wpisu).
• Zapis nowego sekretu: check (ls/locate) → mkdir grupy jeśli brak → add wpisu.
• Aktualizacja sekretu: locate/show → edit (zmiana hasła/username).
• Inicjalizacja struktury: mkdir ProjectName, mkdir ProjectName/EnvName.

Skrypty Pythona: Po wdrożeniu użyj scripts/keepass_ops.py (subkomendy get/add/update) dla spójnego check-before-add; szczegóły w doc/keepass-integration.md. Dla zaawansowanych przypadków nadal możesz wywoływać keepassxc-cli bezpośrednio.

SSH Agent

KeePassXC SSH Agent automatycznie ładuje klucze SSH z bazy do systemowego SSH agenta gdy baza jest otwarta w GUI.

Weryfikacja

# W PowerShell (Windows)
ssh-add -l

# Powinien być widoczny klucz SSH z bazy

Użycie kluczy SSH

Klucze SSH są automatycznie dostępne dla wszystkich połączeń SSH (nie trzeba podawać -i).

Przykłady użycia

Pobieranie tokenu GitHub

GITHUB_TOKEN=$(~/.cursor/scripts/get-keepass-secret.sh "GitHub Token" "Token")
export GITHUB_TOKEN

Pobieranie hasła do bazy danych

DB_PASSWORD=$(~/.cursor/scripts/get-keepass-secret.sh "Database Credentials" "Password")

Pobieranie klucza API

API_KEY=$(~/.cursor/scripts/get-keepass-secret.sh "Service API" "API Key")

Bezpieczeństwo

Best Practices

1. Nie commituj haseł do Git - wszystkie sekrety są w bazie KeePassXC
2. Używaj SSH Agent - klucze SSH są automatycznie ładowane, nie przechowywane na dysku
3. Hasło w SecretManagement - bezpieczniejsze niż w zmiennych systemowych lub plikach
4. Osobna baza Cursor - izolacja sekretów Cursora od głównej bazy
5. Regularna synchronizacja - używaj KeeShare lub Merge do synchronizacji z główną bazą
6. Tylko hasło bazy w keyring - wszystkie inne sekrety są wyłącznie w bazie KeePassXC

Ostrzeżenia

• Hasło bazy jest przechowywane w PowerShell SecretManagement - dostępne tylko dla użytkownika
• Skrypt get-keepass-secret.sh próbuje w kolejności:
  1. PowerShell SecretManagement (główna metoda)
  2. secret-tool (jeśli dostępny w WSL)
  3. Wpis w bazie "Cursor Database Password" (jeśli baza otwarta w GUI)
  4. Interaktywnie (ostatni fallback)
• Baza musi być otwarta w GUI, aby odczytać hasło z wpisu "Cursor Database Password"
• Nie ma fallbacku do pliku - wszystkie metody używają bezpiecznych mechanizmów keyring

Rozwiązywanie problemów

Problem: "Nie można odczytać hasła z bazy"

Rozwiązanie:

1. Upewnij się, że baza cursor.kdbx jest otwarta w KeePassXC GUI
2. Sprawdź czy wpis "Cursor Database Password" istnieje w bazie
3. Uruchom save-keepass-password-to-keyring.sh aby zapisać hasło do SecretManagement

Problem: "keepassxc-cli: command not found"

Rozwiązanie:

sudo apt update
sudo apt install -y keepassxc

Problem: "Cannot retrieve secret from SecretManagement"

Rozwiązanie:

1. Sprawdź czy moduły są zainstalowane:

   Get-Module -ListAvailable -Name Microsoft.PowerShell.SecretManagement
   

2. Jeśli nie, zainstaluj:

   Install-Module -Name Microsoft.PowerShell.SecretManagement -Scope CurrentUser
   Install-Module -Name Microsoft.PowerShell.SecretStore -Scope CurrentUser
   

3. Zarejestruj vault:

   Register-SecretVault -Name LocalStore -ModuleName Microsoft.PowerShell.SecretStore -DefaultVault
   

Problem: Klucze SSH nie są widoczne w ssh-add

Rozwiązanie:

1. Upewnij się, że SSH Agent jest włączony w KeePassXC (Tools → Settings → SSH Agent)
2. Upewnij się, że Windows OpenSSH Agent jest uruchomiony:

   Set-Service ssh-agent -StartupType Automatic
   Start-Service ssh-agent
   

3. Sprawdź czy klucz SSH jest dodany do bazy z konfiguracją SSH Agent

Synchronizacja baz

Baza cursor.kdbx może być synchronizowana z główną bazą jjaszczak.kdbx używając:

• KeeShare (rekomendowane) - GUI-based synchronizacja
• Merge - jednorazowe scalenie baz

Szczegółowe instrukcje w planie integracji.

Dokumentacja

• Runbook (odtworzenie na innej maszynie): ~/.cursor/doc/keepass-integration.md
• Plan integracji: ~/.cursor/plans/keepassxc_integration_setup_6191af80.plan.md
• Konfiguracja: ~/.cursor/doc/configuration.md
• Skrypty: ~/.cursor/scripts/ (get-keepass-secret.sh, save-keepass-password-to-keyring.sh, keepass_ops.py)