oh-my-zsh 1password 插件：用 opswd 一条命令完成 1Password 凭据复制与剪贴板自动清空

oh-my-zsh 的 1password 插件 把 1Password CLI（op 命令）封装成一个 opswd 快捷命令：输入服务名即可按“用户名 → 密码 → TOTP 动态码”的顺序将凭据逐条复制到系统剪贴板，每一步都有用户确认，并在 20 秒后自动清空剪贴板。读完本文，你将理解 opswd 的完整工作流程、每一步对应的 op 子命令、跨平台剪贴板抽象 clipcopy 的实现，以及该插件在 oh-my-zsh 中的加载机制与补全配置原理。

插件启用方式

在 ~/.zshrc 中将 1password 加入插件列表即可：

plugins=(... 1password)

启用后即可使用 opswd 命令，将某个服务的账号密码复制到剪贴板。

前置要求与使用前提

• 必须安装 1Password CLI 2（op 命令）。插件本身不打包 CLI，只做封装。如果你使用的是旧版 1Password CLI 1，需要按照 1Password 官方文档自行升级到 CLI 2。
• 必须处于登录状态。opswd 依赖 op 的登录会话；如果启用了生物识别解锁，CLI 会自动提示完成签名登录。

opswd 命令的工作流程

opswd 是围绕 op 命令的封装。它以服务名为参数，依次完成四件事：

1. 将该服务的用户名复制到剪贴板，并提示用户按回车确认；
2. 确认后，将该服务的密码复制到剪贴板，再次等待回车；
3. 若该服务条目中配置了 TOTP（一次性动态密码），则继续将动态码复制到剪贴板；
4. 最后，延迟 20 秒后清空剪贴板，避免敏感凭据长时间滞留在内存剪贴板中。

以 GitHub 为例：

opswd github.com

执行后，GitHub 用户名先进入剪贴板，接着提示确认、复制密码，若条目中有 TOTP 则最后复制动态码。

支持 Tab 补全

opswd 带有补全支持，输入服务名后按 Tab 可以从 1Password 中已有的服务条目里选择，避免手敲服务名。补全项由 op 自带的 op completion zsh 生成（下文会讲其缓存机制）。

源码中的实现细节

opswd 的完整实现见 opswd 函数：

function opswd() {
  if [[ $# -lt 1 ]]; then
    echo "Usage: opswd <service>"
    return 1
  fi

  local service=$1

  # If not logged in, print error and return
  op user list > /dev/null || return

  local username
  # Copy the username to the clipboard
  if ! username=$(op item get "$service" --fields username 2>/dev/null); then
    echo "error: could not obtain username for $service"
    return 1
  fi

  echo -n "$username" | clipcopy
  echo "✔ username for service $service copied to the clipboard. Press Enter to continue"
  read

  local password
  # Copy the password to the clipboard
  if ! password=$(op item get "$service" --reveal --fields password 2>/dev/null); then
    echo "error: could not obtain password for $service"
    return 1
  fi

  echo -n "$password" | clipcopy
  echo "✔ password for $service copied to clipboard. Press Enter to continue"
  read

  # If there's a one time password, copy it to the clipboard
  local totp
  if totp=$(op item get --otp "$service" 2>/dev/null) && [[ -n "$totp" ]]; then
    echo -n "$totp" | clipcopy
    echo "✔ TOTP for $service copied to clipboard"
  fi

  (sleep 20 && clipcopy </dev/null 2>/dev/null) &!
}

从源码结构看，几个关键点值得注意：

• 登录检查：op user list > /dev/null || return 以 op user list 的退出码判断是否已登录，未登录时静默返回，与 README 中“需要已登录”的说明一致。
• 密码获取用了 --reveal：op item get "$service" --reveal --fields password。1Password CLI 默认会对密码输出打码，必须显式加 --reveal 才能拿到明文，这一步是复制密码到剪贴板的前提。
• 逐步确认：用户名和密码两步之间通过 read 阻塞等待回车，把复制节奏的控制权交给用户，而不是自动连跳。
• TOTP 是可选步骤：op item get --otp 取不到或为空时直接跳过，不影响前面的复制结果。
• 剪贴板自动清空：(sleep 20 && clipcopy </dev/null) &! 把“睡眠 20 秒后向 clipcopy 写入空输入”放到脱离终端控制的后台子进程中执行（&! 使其不占用作业表），20 秒后剪贴板内容即被置空。

另外可以注意到，opswd 文件 头部注释提到“TOTP 会在 10 秒后复制”，但当前实现是“等待用户回车后复制”，以实际代码行为（回车确认）为准；“20 秒后清空剪贴板”则与代码中的 sleep 20 完全一致。

clipcopy：oh-my-zsh 的跨平台剪贴板抽象

opswd 并不直接调用 pbcopy 等平台命令，而是依赖 oh-my-zsh 框架层的 clipcopy 函数，其实现位于 lib/clipboard.zsh。该文件在首次调用 clipcopy 时惰性触发 detect-clipboard，按以下优先级探测当前平台并定义 clipcopy/clippaste 两个函数（见 detect-clipboard 函数）：

优先级	探测条件	使用工具	适用平台
1	OSTYPE 为 darwin 且存在 pbcopy/pbpaste	pbcopy / pbpaste	macOS
2	OSTYPE 为 cygwin/msys	/dev/clipboard	Windows (Cygwin/MSYS)
3	存在 clip.exe 与 powershell.exe	clip / PowerShell Get-Clipboard	Windows (Git Bash 等)
4	设置 WAYLAND_DISPLAY 且存在 wl-copy/wl-paste	wl-copy / wl-paste	Linux (Wayland)
5	设置 DISPLAY 且存在 xsel	xsel	Linux (X11)
6	设置 DISPLAY 且存在 xclip	xclip	Linux (X11)
7	存在 lemonade	lemonade copy	SSH 远程
8	存在 doitclient	doitclient wclip	SSH 远程
9	存在 win32yank	win32yank	Windows
10	Android 且存在 termux-clipboard-set	Termux 剪贴板	Android (Termux)
11	设置 TMUX 且存在 tmux	tmux load-buffer/save-buffer	tmux 会话

检测失败时，clipcopy 会注册一个重试包装函数，下次调用可重新探测——这意味着如果你先启动了 wayland 环境后装好 wl-copy，无需重开 shell 再次调用即可生效。这套多后端机制使得 opswd 在 macOS、主流 Linux 桌面以及 tmux 会话中都能工作，SSH 裸环境则可借助 lemonade/doitclient 打通剪贴板。

插件加载机制：op 检测、补全缓存与按需加载

1password.plugin.zsh 全文很短，但每一行都对应 oh-my-zsh 的一个基础设施：

# Do nothing if op is not installed
(( ${+commands[op]} )) || return

# If the completion file doesn't exist yet, we need to autoload it and
# bind it to `op`. Otherwise, compinit will have already done that.
if [[ ! -f "$ZSH_CACHE_DIR/completions/_op" ]]; then
  typeset -g -A _comps
  autoload -Uz _op
  _comps[op]=_op
fi

zmodload -F zsh/files b:zf_mv
() {
  local TMPPREFIX="$ZSH_CACHE_DIR/completions/_op"
  zf_mv -f -- =( op completion zsh ) "$TMPPREFIX"
} &|

# Load opswd function
autoload -Uz opswd

逐段拆解：

• op 缺失则整体跳过：(( ${+commands[op]} )) || return 保证在未安装 1Password CLI 的机器上插件静默失效，而不是报错或定义残缺的命令。
• 补全缓存生成：op completion zsh 输出的是 zsh 补全脚本，插件在一个匿名函数中将其通过 zf_mv 原子写入 $ZSH_CACHE_DIR/completions/_op，并用 &|（异步后台执行、脱离作业表）避免阻塞 shell 启动。ZSH_CACHE_DIR 由 oh-my-zsh.sh 在启动时设定（默认 $ZSH/cache，不可写时回退到 ${XDG_CACHE_HOME:-$HOME/.cache}/oh-my-zsh），并且 entry 脚本 会把 $ZSH_CACHE_DIR/completions 插入 fpath 头部——这正是生成的 _op 补全脚本能被 compinit 找到的原因。
• _comps[op]=_op 的兜底：如果缓存补全文件尚不存在（首次启动时异步写入可能还没完成），插件会手动 autoload -Uz _op 并把 _comps[op] 指向它，让当前会话的 op 也有补全；否则说明 compinit 已经处理过，就不重复绑定。
• autoload -Uz opswd：只注册函数名而不立即定义，直到你第一次执行 opswd 时，zsh 才通过 fpath 查找并解析 opswd 文件（其首行 #autoload 魔法注释标识了函数体解析边界）。

插件目录能被找到，也依赖 oh-my-zsh 的加载约定：oh-my-zsh.sh 中 is_plugin 检查 plugins/<name>/<name>.plugin.zsh 是否存在，存在则把 plugins/<name> 插入 fpath；随后 脚本末尾 遍历 plugins 数组，用 _omz_source 依次 source 各插件文件。opswd 函数能 autoload 成功，正是因为插件目录已先进入 fpath。

小结

1password 插件的核心价值在于把“查询条目 → 复制凭据 → 保护剪贴板”这条高频操作压缩为一条带补全的命令：opswd <service> 完成用户名/密码/TOTP 的确认式复制，sleep 20 后台进程保证剪贴板不会长期残留敏感信息；底层的 op 子命令组合（op item get --fields username、op item get --reveal --fields password、op item get --otp）、多后端剪贴板抽象（lib/clipboard.zsh）以及补全缓存机制（1password.plugin.zsh）共同构成了一个可复制、可移植的实现范例，对想给其他 CLI 工具做类似“安全复制”封装的开发者有直接参考价值。