cs CLI（CortexOS 统一入口）

cs 是 CortexOS 的统一命令行，所有 Agent 操作都通过它完成。本后台（hym-manager）的运维、改密钥、改 CF DNS、查规则、读文档，都离不开它。

一行安装

curl -sSL "https://gitlab.com/api/v4/projects/webkubor%2FCortexOS/packages/generic/cs-cli/latest/linux-amd64" \
  -u "gitlab+deploy-token-14201937:gldt-AuNarGmRyhiy-GoUwUdV" \
  -o ~/.local/bin/cs && chmod +x ~/.local/bin/cs

安装后验证：

cs --version
cs brief       # 冷启动快照：项目信息 + 可用命令 + 进行中任务

macOS 把二进制名换成 macos-arm64 即可。

自动更新

cs update         # 升到最新版本
cs update 2.1.0   # 升到指定版本

内部 deploy token 已硬编码进二进制，不需要本地配置任何环境变量。

本后台最常用的命令

场景	命令
看当前能力边界 / 正在跑什么	cs brief
读规则（流程 / 红线 / 原则）	cs rule <name>
跨项目搜知识	cs search "关键词"
看密钥库里有啥（不显示明文）	cs kyvault list
注入密钥运行命令（不打印明文）	cs kyvault run --env CF_API_TOKEN=secret://cloudflare/api-token -- <cmd>
给 CF zone 加 DNS 记录	cs dns add <subdomain> <target>（默认 zone：webkubor.online）
跨 Agent 看板	cs board
发系统通知	cs notify "消息" --from guqiuyue --route system
录入复盘 / 决策	cs retro "内容" -t 决策
看今日待办 / 派单	cs digest

密钥系统

cs 的密钥真源是 D1 secret_vault（AES-256-GCM 加密），引用形式：

secret://平台/名称

例子：

# 看元信息（不打印明文）
cs kyvault list | grep cloudflare

# 解密读明文（仅在确实需要时）
cs kyvault get secret://cloudflare/api-token

# 注入到子进程环境变量
cs kyvault run --env CF_API_TOKEN=secret://cloudflare/api-token -- wrangler whoami

强约定：除非确实需要看明文，否则永远走 run 注入，不要把明文粘到对话 / 日志里。

与本后台的边界

• cs 管的是工具链与凭证（CLI 工具、密钥、规则、Agent 派发）
• hym-manager 管的是业务数据（需求池、订单、客户、票务 SOP）
• 两者通过 cs kyvault 持有本后台依赖的所有外部凭据（CF Token、Supabase Token、飞书 Webhook 等）

任何"在后台之外的运维操作"——改 DNS、发系统通知、看 Agent 状态、调外部凭据——都优先用 cs 而不是另起一套脚本。

完整文档

• cs CLI 全部子命令：cs --help
• CortexOS 项目说明：https://gitlab.com/webkubor/CortexOS
• 密钥库轮换 SOP：/Users/webkubor/dev/CortexOS/secrets/cloudflare.md（SSOT）