dsh-key-rotate

制度里写着「密钥每年轮换」，但 id_rsa 还是两年前那份——等保测评问鉴别信息更换周期、客户尽调问密钥管理流程时，你往往拿不出比「我们按规定做」更硬的依据。文件修改时间不会配合叙事：它只记录密钥与证书在磁盘上多久没动过。

dsh-key-rotate 把这件事做成可扫描、可分级的问题清单。高优先级关注密钥与证书文件超过一年未更新（按 mtime）；中优先级包括文档中找不到轮换策略，以及同一密钥在多个环境配置里被引用。它不替你做轮换，而是把「多久没换、有没有制度、有没有复用」摆到桌面上，方便你确认和整改。

适合安全与合规负责人、运维与平台工程，以及需要在项目或仓库层面做密钥治理自查的团队。它与查「密钥是否被提交进仓库」类能力分工明确：一个看泄露面，这个看生命周期与制度是否落地。

使用时请留意边界：本地文件年龄不等于未轮换（例如 KMS 为主、本地仅为副本）；插件不解析证书有效期与签发信息；跨环境复用检测主要面向 .env 类配置文件，无法覆盖 KMS 或 CI secrets。