必须严格限制OpenClaw操作边界：限定文件系统访问范围、拦截危险命令、隔离会话凭证、硬性截断输入长度，所有配置需在OpenClaw网关config.json中完成并重启生效。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
当你在AionClaw中调用OpenClaw作为底层执行引擎时，必须明确限制其操作边界——因为AionClaw本身不直接管控权限，所有文件读写、命令执行、模型调用等行为最终都由OpenClaw落地，若未约束，AI可能越权访问用户主目录、执行rm -rf、调用敏感API或泄露会话上下文。
确认OpenClaw运行模式与配置入口
第一步：进入AionClaw所依赖的OpenClaw实例配置目录。AionClaw默认通过环境变量OPENCLAW_CONFIG_PATH指向OpenClaw配置位置；若未设置，则继承系统级路径：
• Linux/WSL2：~/.config/openclaw/config.json 或 ~/.openclaw/openclaw.json
• macOS：~/Library/Application Support/openclaw/config.json
• Windows（WSL兼容模式）：/mnt/c/Users/{user}/AppData/Roaming/openclaw/config.json
第二步：确认当前OpenClaw是否以独立网关进程运行。执行ps aux | grep openclaw.*gateway，若输出含--mode=standalone或--listen参数，说明AionClaw是远程调用该网关——此时所有权限配置必须在此网关配置文件中生效，本地AionClaw自身配置无效。
第三步：打开对应config.json，检查是否存在"gateway"顶层节点。若无，需手动添加，否则后续workspaceOnly、input_length_limit等关键字段将被忽略。
强制限定文件系统操作范围
这是防止AI误删、越读的核心防线。AionClaw转发的任何文件操作请求，都会经由OpenClaw的fs工具执行，必须将其锁死在指定沙箱目录内。
方法一：启用workspace-only硬隔离
在config.json的"tools"节点下插入：
{ "fs": { "workspaceOnly": true } }
这会让OpenClaw拒绝一切绝对路径访问（如/etc/hosts）、家目录通配（如~/Downloads/*.log），只允许对~/.openclaw/workspace及其子目录进行读写。注意：【AionClaw若未提前创建该目录，首次调用将报错ENOENT】，需手动执行mkdir -p ~/.openclaw/workspace并赋予当前用户读写权限。
方法二：白名单路径精细化控制
若需多路径协作（如读取Downloads、写入Projects），改用filesystem白名单机制：
在config.json中添加"security"区块：
{ "security": { "fileAccess": { "allowedPaths": ["/home/user/Downloads", "/home/user/Projects/ai-output"], "blockedExtensions": [".env", ".pem", ".key"] } } }
此配置下，即使AionClaw传入cat /home/user/.aws/credentials，OpenClaw也会拦截并返回Path not in allowedPaths。扩展名黑名单能阻断对密钥类文件的意外读取——Qwen3.5-35B模型在解析日志时曾尝试加载同目录下的.env文件，此配置可即时截断。
阻断危险命令与提权行为
AionClaw可能将自然语言指令转译为shell命令，而OpenClaw若未设防，就会原样执行。必须双管齐下：过滤命令字符串 + 禁用提权链。
第一步：启用命令拦截器插件
在~/.openclaw/plugins/下新建command-filter.js：
module.exports = { interceptCommand: (cmd) => { const dangerous = ["rm -rf", "chmod 777", "dd if=", "mv /", "sudo"]; if (dangerous.some(p => cmd.trim().startsWith(p))) throw new Error(`Blocked: ${cmd}`); return cmd; } };
第二步：清空提权工具列表
检查config.json中是否存在"elevatedTools"字段。若存在，立即将其设为[]；若不存在，【切勿新增该字段】，因OpenClaw默认禁用提权——手动添加反而可能触发未预期的权限提升逻辑。
第三步：验证拦截效果
向AionClaw发送测试指令：“把/tmp目录清空”，观察OpenClaw日志是否出现[SECURITY] Blocked: rm -rf /tmp/*。若无拦截记录，说明插件未加载，需确认openclaw gateway restart后plugins目录路径已写入config.json的"pluginPaths"数组中。
绑定会话级模型凭证与工具可见性
AionClaw常为不同任务启动多个OpenClaw会话，若凭证或工具集全局共享，会导致VIP客户数据通过模型缓存泄露给普通会话。必须按会话粒度隔离。
① 在config.json中启用会话沙箱：
找到"session"节点，设置"memoryPolicy": "isolated"和"dmScope": "restricted"。前者确保每个会话内存不互通，后者禁止模型跨会话提取上下文——例如客服会话中输入的银行卡号，不会出现在后续知识库查询会话的prompt中。
② 配置动态凭证注入：
为AionClaw调用OpenClaw时附加唯一会话ID环境变量：OPENCLAW_SESSION_ID=user_abc123_task456 openclaw gateway start
在config.json中引用该变量："model": { "credentials": { "api_key": "${OPENCLAW_SESSION_ID}_qwen_key" } }
这样每个会话加载独立API Key，避免密钥复用风险。
③ 工具组按角色收敛：
在"tools"下定义"profile"为"custom"，并显式声明仅允许当前任务所需的工具：
{ "profile": "custom", "custom_allowed_tools": ["web_search", "pdf_parser"], "deny": ["shell_exec", "file_write_to_global_path"] }
这比单纯设tools.profile: messaging更精准——既保留必要能力，又杜绝高危工具激活可能。
启用输入长度硬性截断
AionClaw可能将长文档全文喂给OpenClaw，若未设限，Qwen3.5-35B模型会在推理层OOM崩溃，或触发系统级内存杀进程。必须在网关入口层强制截断。
在config.json的"gateway"节点下添加：
"input_length_limit": 4096, "max_input_tokens": 3072
前者按Unicode字符数截断（防宽字节绕过），后者交由tokenizer精确计算token并截断（适配模型真实窗口）。两个值需保持梯度差——字符限制略宽，token限制更严，形成双重保险。修改后执行openclaw d2a restart使配置生效。
