OpenClaw 配置安全审计与加固工具，自动扫描漏洞、暴露凭证、不安全网关设置等，支持一键修复与安全评分。
说明：
## 核心用法
Security Hardener 是一款专为 OpenClaw 设计的配置安全审计工具，提供从扫描到修复的全流程安全加固能力。
**主要功能模块：**
1. **安全审计（audit）**：只读扫描，评估当前配置安全性，输出 0-100 分安全评分
2. **漏洞修复（fix）**：自动修复检测到的安全问题，操作前自动创建配置备份
3. **密钥扫描（scan-secrets）**：专项检测配置文件中硬编码的 API 密钥、令牌等敏感信息
4. **权限检查（check-perms）**：验证配置文件权限是否符合最小化原则（建议 600）
5. **报告生成（report）**：导出详细安全分析报告（Markdown 格式）
**安全检测维度涵盖 10 项关键检查：**
– 网关绑定（CRITICAL）：确保绑定 loopback，防止外部暴露
– 凭证暴露（CRITICAL）：检测配置文件中硬编码密钥
– 不安全认证（HIGH）：`allowInsecureAuth` 等危险选项
– 执行沙箱（HIGH）：exec 沙箱模式是否限制为 restricted
– 文件权限（HIGH）：配置文件是否可被其他用户读取
– Agent 通信（MEDIUM）：`agentToAgent.allow: [“*”]` 过度授权
– 心跳检测（MEDIUM）：缺失 outage 检测能力
– 会话重置（MEDIUM）：潜在的内存泄漏风险
– 上下文修剪（LOW）：成本与性能影响
– 内存刷新（LOW）：修剪时的上下文丢失风险
**评分标准：** 90-100 分生产就绪，70-89 分建议优化，50-69 分需处理多项问题，0-49 分存在关键漏洞需立即修复。
## 显著优点
– **自动化程度高**：一键扫描、评分、修复，大幅降低安全运维门槛
– **风险分级清晰**：CRITICAL/HIGH/MEDIUM/LOW 四级 severity，便于优先处理
– **非破坏性操作**：fix 命令自动备份原配置，支持 `–only` 指定修复范围
– **输出格式灵活**：支持终端表格与 JSON 两种输出，便于集成 CI/CD
– **专项扫描能力**：独立的密钥扫描模块，满足合规审计需求
## 潜在缺点与局限性
– **生态绑定**：专为 OpenClaw 设计，无法直接应用于其他框架/平台
– **自动修复边界**：部分修复（如密钥迁移到 .env）可能需要人工介入
– **评分模型透明度**：未公开 0-100 分的具体计算权重，用户难以针对性优化
– **无历史对比**：缺乏配置变更前后的安全评分趋势分析
– **权限修复依赖系统**：`check-perms` 和权限修复受限于运行环境的文件系统权限
## 适合人群
– **OpenClaw 部署运维人员**：需要定期安全巡检的生产环境管理员
– **DevSecOps 工程师**：希望将安全扫描集成到部署流水线的团队
– **安全合规审计人员**：需要生成安全报告以满足合规要求的场景
– **个人开发者**：快速检查本地 OpenClaw 配置是否存在明显安全隐患
## 常规风险
| 风险类型 | 说明 | 缓解建议 |
|———|——|———|
| 误修复风险 | 自动 fix 可能改变预期行为（如收紧 exec 沙箱导致脚本失败） | 修复前 review 备份，分阶段 `–only` 修复 |
| 扫描盲区 | 工具不扫描运行时内存中的密钥，仅检查配置文件 | 配合专用密钥扫描工具（如 truffleHog）使用 |
| 评分误导 | 高分≠绝对安全，低分配置在隔离环境可能可接受 | 结合业务场景判断，勿唯分数论 |
| 备份覆盖 | 多次 fix 可能覆盖前次备份 | 关键变更前手动备份或使用版本控制 |
会员专属
