Config Security Scanner_IT运维与安全 skill-PHP中文网

Config Security Scanner

Polar Sponsor

爱发电赞助

.NET 9.0

立即下载

针对OpenClaw部署的安全专家，审计本地配置文件，检测网络设置、渠道策略和工具权限中的漏洞。...

OpenClaw 安全扫描器

功能概述

OpenClaw 安全扫描器是一项面向实际任务的技能，主要用于OpenClaw 部署安全专家；目的: 审计 OpenClaw 配置文件, 以防范安全漏洞, 提供安全、可供操作的补救 gui。

核心要点

它将相关步骤、工具调用和结果整理方式集中到统一流程中，帮助使用者更快完成目标并减少重复操作。
使用时应结合输入条件选择合适的执行方式，核对必要参数、依赖环境与输出内容，并按原始要求处理异常情况。
该技能适合需要稳定复用相关能力的场景，可作为自动化工作流的一部分，也便于后续检查、调整和扩展。

使用与执行

从功能定位来看，该技能强调把分散的操作要求整理成清晰、可复用的处理流程，使用户能够围绕既定目标快速准备输入、选择执行方式并获得结构化结果。实际使用前应先确认任务范围、数据来源、运行环境、必要权限和关键参数，再依据技能说明逐步执行；

结果检查与注意事项

若输入条件不完整，应先补齐信息或采用保守配置，避免因错误假设导致结果偏离需求。执行过程中需要关注工具调用是否成功、接口或依赖是否可用、输出格式是否符合预期，并对异常提示、缺失字段和边界情况进行处理；涉及批量任务时，还应保存进度，避免中断后重复操作。

OpenClaw 安全扫描器

角色：OpenClaw 部署安全专家

用途：审计 OpenClaw 配置文件中的安全漏洞，并提供安全、可操作的修复建议。纯静态分析 —— 仅读取本地配置文件，不进行网络探测，不执行子进程。

安装

通过 ClawHub 安装（推荐）

# 从 ClawHub 仓库安装
clawhub install openclaw-security-scanner

# 或从本地 workspace 安装
clawhub install skills/openclaw-security-scanner

# 验证安装
clawhub list | grep security-scanner

手动安装

# 克隆或复制到 skills 目录
cp -r openclaw-security-scanner ~/.openclaw/workspace/skills/

# 验证安装
python3 ~/.openclaw/workspace/skills/skill-creator/scripts/quick_validate.py openclaw-security-scanner

依赖要求

OpenClaw >= 2026.3.0
Python 3.8+
无需外部工具 —— 所有分析均基于本地配置文件

快速开始

安装完成后，运行一次安全扫描：

# 全面安全审计（推荐）
openclaw security-scan

# 或直接运行 Python 脚本
python3 skills/openclaw-security-scanner/scripts/security_scan.py

# 生成报告至文件
openclaw security-scan --output security_report.md

适用场景

在以下情况下触发本技能：

用户请求安全审计：“扫描我的 OpenClaw 是否存在安全问题”
初始部署完成后，验证当前安全基线
将 OpenClaw 暴露至生产环境或多用户环境前
发生重大配置变更后
定期开展安全健康检查（建议：每周一次）
用户报告可疑活动

命令

该技能通过 openclaw CLI 提供以下命令：

命令	说明	示例
`security-scan`	全面安全审计	`openclaw security-scan`
`security-scan --ports-only`	仅分析网络配置	`openclaw security-scan --ports-only`
`security-scan --channels`	审计频道策略	`openclaw security-scan --channels`
`security-scan --permissions`	分析权限配置	`openclaw security-scan --permissions`
`security-scan --output FILE`	将报告保存至指定文件	`openclaw security-scan -o report.md`

功能特性

1. 网络配置分析

分析 gateway 配置，涵盖：

绑定地址设置（0.0.0.0 vs 127.0.0.1）
默认/可预测端口使用情况
TLS/SSL 配置
缺失的绑定地址声明

输出示例：

🔴 CRITICAL: Gateway 配置为绑定至所有接口（0.0.0.0:18789）
   影响：局域网内攻击者可访问 gateway API
   修复：将 bind address 设为 127.0.0.1，或配置防火墙规则
   风险等级：MEDIUM —— 若未谨慎处理，可能导致远程访问中断

2. 频道策略审计

检查内容包括：

Telegram groupPolicy（allow vs allowlist）
WhatsApp webhook 密钥
Web 频道身份认证
群组聊天白名单
未知用户策略

输出示例：

🔴 CRITICAL: Telegram 允许接收所有群组消息
   当前配置：groupPolicy="allow"
   影响：任意用户均可发送消息，存在滥用风险
   修复：将 groupPolicy 设为 "allowlist" 并配置 allowedGroups
   风险等级：LOW —— 不会影响一对一私聊功能

3. 权限分析

评估内容包括：

工具执行策略（allow / deny / allowlist）
文件系统访问范围（workspaceOnly）
是否启用了高危工具（exec、shell、system.run）
上下文感知型权限配置

输出示例：

🔴 CRITICAL: 工具执行策略为 'allow'
   影响：任意工具均可执行任意命令
   修复：将 tools.exec.policy 设为 "deny" 或 "allowlist"
   风险等级：HIGH —— 可能破坏现有工作流

4. 安全修复指导

每项发现均包含以下要素：

风险评估：CRITICAL / HIGH / MEDIUM / LOW
影响说明：潜在危害描述
修复步骤：具体配置修改方法
修复风险：LOW / MEDIUM / HIGH（是否会引发故障？）
回滚方案：出现问题时如何还原

风险评级标准

等级	响应时限	典型示例
🔴 CRITICAL	< 1 小时	管理端口暴露、允许全部频道策略、使用默认凭据
🟠 HIGH	< 24 小时	缺少身份认证、工具权限过度开放、未启用 TLS
🟡 MEDIUM	< 1 周	限流策略薄弱、错误信息过于详细、依赖组件过期
🔵 LOW	< 1 个月	缺少安全响应头、日志记录策略欠佳

安全修复协议

本技能中所有修复步骤均为仅修改配置文件。该技能绝不会执行任何系统命令；凡需重启服务或访问 shell 的操作，均以 [OPERATOR] 标注，由人工管理员执行。

⚠️ 关键规则：在未满足以下全部条件前，禁止应用可能中断远程访问的配置变更：

✅ 已验证备用访问通道（SSH、控制台、备用频道）可用
✅ 已完成 config.json 备份，并验证还原流程有效
✅ 已规划维护窗口期
✅ 回滚方案已就绪

高风险变更须分阶段实施

第一阶段：准备
├─ 复制 config.json 作为备份
├─ 记录当前配置状态
├─ [OPERATOR] 验证备用访问通道（SSH、控制台）
└─ 规划维护窗口期

第二阶段：预发布
├─ 在测试环境中应用配置变更
├─ 验证各项功能正常
├─ 测试回滚流程
└─ 获取审批确认

第三阶段：生产环境
├─ 在维护窗口期内应用配置变更
├─ [OPERATOR] 重启 gateway 并持续监控（24–48 小时）
├─ 保持回滚能力随时可用
└─ 记录本次变更

第四阶段：验证
├─ 重新运行扫描器确认问题已修复
├─ [OPERATOR] 测试所有关键功能
├─ [OPERATOR] 持续监控异常情况
└─ 更新相关文档

输出格式

报告以 Markdown 格式生成：

# OpenClaw 安全审计报告

**扫描时间**：2026-03-08 16:30  
**主机名**：mybot.local  
**总体风险等级**：HIGH  

## 执行摘要
- 🔴 CRITICAL：2 项  
- 🟠 HIGH：3 项  
- 🟡 MEDIUM：5 项  
- 🔵 LOW：2 项  

## 发现详情
[含修复步骤的详细问题列表]

## 修复计划
### 立即行动（< 24 小时）
- [ ] 修复项 1（风险等级：LOW）  
- [ ] 修复项 2（风险等级：MEDIUM）  

### 需分阶段实施
- [ ] 修复项 3（风险等级：HIGH —— 可能中断远程访问）

使用示例

基础安全扫描

用户：“扫描我的 OpenClaw 是否存在安全问题”

助手执行：

openclaw security-scan --output security_report.md

输出：

✅ 网络配置分析：发现 2 个问题  
✅ 频道审计：发现 1 个不安全策略  
✅ 权限分析：发现 3 处权限过度开放  

风险等级：HIGH  
报告已保存至：security_report.md

定向频道审计

用户：“检查我的 Telegram 配置是否安全”

助手执行：

openclaw security-scan --channels --output telegram_audit.md

周度安全检查

添加至 HEARTBEAT.md：

## 周度安全扫描

每周日 02:00 执行：
- 运行：`openclaw security-scan -o weekly_security.md`
- 审查 CRITICAL/HIGH 级别问题
- 应用低风险修复
- 向管理员频道报送摘要

集成方式

Heartbeat 集成

# ~/.openclaw/workspace/HEARTBEAT.md
weekly_security_scan:
  schedule: "0 2 * * 0"  # 周日 2:00
  command: "openclaw security-scan -o docs/reports/weekly_security.md"
  review: "24 小时内完成"

告警触发条件

建议配置如下告警：

新出现 CRITICAL 级别问题
配置偏离安全基线
每小时失败认证尝试超过 10 次
异常的工具执行模式

脚本

所有脚本位于 skills/openclaw-security-scanner/scripts/ 目录下：

脚本	用途	调用方式
`security_scan.py`	主安全扫描器	`python3 security_scan.py [options]`

脚本参数

# security_scan.py
--ports-only        仅分析网络配置  
--channels-only     仅审计频道策略  
--permissions-only  仅分析权限配置  
--output, -o FILE   将报告保存至文件  
--verbose, -v       输出详细日志  
--full              全面扫描（默认行为）

参考资料

详见 skills/openclaw-security-scanner/references/ 目录下的完整指南：

permission-management.md —— 上下文感知型权限配置
- 权限等级（Restricted / Standard / Elevated / Emergency）
- 基于用户、频道、时间的上下文策略
- 生命周期管理与审批工作流
- 快捷切换命令与配置模板
remediation-playbook.md —— 安全修复操作手册
- 安全修复黄金准则
- 常见问题的分步修复指南
- 每一项修复对应的回滚流程
- 紧急恢复操作流程
- 复盘模板