名称： openclaw-hardener
描述： "加固 OpenClaw（工作区 + ~/.openclaw）：运行 OpenClaw 安全审计，捕获提示注入/数据泄露风险，扫描密钥，并应用安全修复（chmod/执行位清理）。包含可选的 config.patch 规划，以减少攻击面。"

OpenClaw 加固工具

此技能提供了一个用户可选的加固工具，能够：

• 运行 OpenClaw 内置的安全审计（openclaw security audit --deep / --fix）。
• 运行工作区卫生检查（执行位、残留的 .env 文件、不安全的序列化模式等）。
• 仅在明确请求时应用安全的机械修复。
• 生成（并可选择应用）Gateway config.patch 计划以收紧运行时策略。

运行工具

脚本：
- skills_live/openclaw-hardener/scripts/hardener.py

示例：

# 只读检查（推荐默认方式）
python3 skills_live/openclaw-hardener/scripts/hardener.py check --all

# 仅运行 OpenClaw 内置审计（深度）
python3 skills_live/openclaw-hardener/scripts/hardener.py check --openclaw

# 仅运行工作区检查
python3 skills_live/openclaw-hardener/scripts/hardener.py check --workspace

# 应用安全修复（chmod/执行位清理 + 可选的 openclaw audit --fix）
python3 skills_live/openclaw-hardener/scripts/hardener.py fix --all

# 生成 config.patch 计划（输出 JSON5 补丁）
python3 skills_live/openclaw-hardener/scripts/hardener.py plan-config

# 应用计划（需要运行中的网关；使用 `openclaw gateway call`）
python3 skills_live/openclaw-hardener/scripts/hardener.py apply-config

设计规则（请勿违反）

• 默认 = 仅检查。 除非用户运行 fix 或 apply-config，否则不更改任何文件或配置。
• 输出中不包含密钥。 如果检查读取了敏感路径，必须对可能的令牌进行脱敏处理。
• 补丁计划必须明确。 在应用前始终显示补丁内容。

检查/修复内容

OpenClaw 内置安全审计

• 运行 openclaw security audit --deep（在修复模式下运行 --fix）。

工作区卫生（范围：工作区 + ~/.openclaw）

• ~/.openclaw 下的权限合理性（基础检查）。
• 非可执行文件类型中意外的可执行位。
• 残留的 .env 文件（警告）和已跟踪的 .env 文件（失败）。
• 脚本中危险的序列化/不安全模式（启发式检查）。

配置加固（可选计划）

生成一个保守的 config.patch 模板，重点关注：
- 收紧入站访问默认设置（配对/白名单，提及门控）仅在您选择加入时。
- 确保启用敏感日志脱敏。

（具体键值取决于您的配置；该计划是尽力而为的，应进行审查。）