macOS上最安全的密码管理方式是使用钥匙串（Keychain）存储并按需读取，而非明文写入脚本或配置文件；具体通过security add-generic-password存密、security find-generic-password -w读取，配合sshpass或ssh-add -K使用，确保密码不落地、不解密暴露。
直接把密码明文写进 shell 脚本或配置文件里，不管加不加权限限制，本质上都不安全——进程列表、历史命令、调试日志、甚至终端回滚都可能泄露。macos 上真正可行的安全读取方式，不是“加密脚本”，而是“分离凭证 + 安全调用”。核心思路是：密码不落地到脚本中，也不以可解密形式存在本地文件里。
用钥匙串（Keychain）存密码，脚本按需读取
这是 macOS 原生、最推荐的方式。钥匙串由系统守护进程管理，受 Secure Enclave 保护（Apple Silicon）或 T2 芯片保护（Intel），密码不会明文暴露在内存或磁盘中。
- 存密码（只需一次）：
security add-generic-password -s my-remote-login -a "$USER" -w "your_actual_password" - 脚本中安全读取：
PASSWORD=$(security find-generic-password -s my-remote-login -w 2>/dev/null)
注意：-w输出纯密码字符串；2>/dev/null屏蔽错误提示（如条目不存在） - 配合 SSH 使用示例：
sshpass -p "$PASSWORD" ssh user@host（需先brew install sshpass）
或更安全的免密码登录：用钥匙串存私钥口令 +ssh-add -K ~/.ssh/id_rsa
用环境变量临时注入，避免写入文件
适用于自动化任务或 CI/CD 场景，密码不落地，只存在于当前 shell 生命周期内。
- 运行前手动设置：
export MY_APP_PASSWORD="xxx"
然后执行脚本：./deploy.sh - 脚本内直接使用：
curl -u "user:$MY_APP_PASSWORD" https://api.example.com - 关键提醒：
• 不要把export写进.zshrc或脚本里
• 避免用echo $MY_APP_PASSWORD或set | grep PASSWORD查看，防止被其他进程捕获
• 终端关闭后变量自动消失，安全性有保障
用 OpenSSL 加密配置文件（仅作补充，非首选）
如果必须用文件存储，且无法用钥匙串（比如跨平台兼容需求），可用 OpenSSL AES-256 加密，密钥由用户输入或从钥匙串获取，不硬编码。
- 加密配置文件（交互式输密钥）：
openssl enc -aes-256-cbc -salt -in config.txt -out config.enc - 脚本中解密读取（每次执行都需输密钥）：
PASSWORD=$(openssl enc -aes-256-cbc -d -in config.enc 2>/dev/null)
若想免交互，可把密钥存在钥匙串里：KEY=$(security find-generic-password -s my-config-key -w 2>/dev/null)<br>PASSWORD=$(echo "$KEY" | openssl enc -aes-256-cbc -d -in config.enc 2>/dev/null)
- 注意：
•config.enc是二进制文件，不可编辑
• 密钥本身仍需安全存放（钥匙串是最优解）
• 不要用固定密码硬编码在脚本里，否则加密形同虚设
绝对要避开的坑
这些做法看似“加密了”，实则毫无安全意义：
- 用
gzexe或shc加密整个脚本：它们只是打包或混淆，反编译门槛极低，且执行时密码必然明文加载到内存 - 把密码 base64 编码写进文件：
echo "cGFzc3dvcmQxMjM=" | base64 -d一秒钟就解出来 - 用
chmod 600保护明文密码文件：只要用户有 shell 权限，就能读；一旦提权或备份泄露，全完 - 在脚本里写
read -s PASSWORD：适合交互场景，但自动化流程无法使用，且仍可能被ps或调试器抓取
