如何在Shell中读写gnome-keyring密码且不影响现有客户端？

核心逻辑 #

• 优先复用当前环境中已解锁的密钥环实例，避免重复启动
• 无可用已解锁密钥环时，启动完全独立的私有gnome-keyring-daemon实例，仅加载密码存储服务，不触发任何解锁提示，且不干扰现有客户端（如Seahorse、Chrome、SSH Agent等）

命令行实现脚本 #

将以下代码添加到你的~/.bashrc、~/.profile或单独的初始化脚本中：

# 检测并复用已解锁的现有密钥环
if [ -n "$GNOME_KEYRING_CONTROL" ] && [ -S "$GNOME_KEYRING_CONTROL/keyring" ]; then
    # 通过无意义查询验证密钥环是否已解锁（无报错则可用）
    if secret-tool lookup __test__ __dummy__ 2>/dev/null; then
        export SECRET_SERVICE="$GNOME_KEYRING_CONTROL/secret"
        return 0
    fi
fi

# 启动私有gnome-keyring-daemon实例
# 创建临时目录存储socket文件
export GNOME_KEYRING_TMP=$(mktemp -d)
# 仅加载secrets组件，使用临时控制目录，通过空输入跳过解锁提示
gnome-keyring-daemon --start --components=secrets --control-directory="$GNOME_KEYRING_TMP" --unlock <<< ""

# 设置环境变量定向secret-tool到私有实例
export GNOME_KEYRING_CONTROL="$GNOME_KEYRING_TMP"
export SECRET_SERVICE="$GNOME_KEYRING_TMP/secret"

# Shell退出时自动清理临时文件
trap 'rm -rf "$GNOME_KEYRING_TMP"' EXIT

关键参数说明 #

• --components=secrets：仅启动密码存储服务，不加载ssh-agent、pkcs11等组件，彻底避免对现有客户端的干扰
• --control-directory="$GNOME_KEYRING_TMP"：将私有实例的socket文件放在临时目录，与系统全局实例完全隔离
• --unlock <<< ""：通过空输入解锁临时密钥环，无需用户交互，也不会弹出任何解锁窗口
• 环境变量GNOME_KEYRING_CONTROL和SECRET_SERVICE：强制secret-tool与私有实例通信，不读取系统默认实例的配置

使用示例 #

存储密码 #

secret-tool store --label="数据库密码" service db username admin

检索密码 #

secret-tool lookup service db username admin

内容的提问来源于stack exchange，提问作者Sam Liddicott