Production Security Hardening

生产级安全加固包

适用场景

稳定自动版（可长期运行）；- 仅把 Opus 给明确需要高质量推理的人工触发任务。

功能说明

生产级安全加固包

用最小权限、成本保护与备份机制，把 OpenClaw 运行环境收敛到可控状态。

这个案例能帮你做什么

• 降低 API Key 泄露、误用高价模型、网关暴露、设备残留配对等高频风险。
• 提供“先备份、再改造、边改边验”的安全加固路径。
• 形成应急处置动作：密钥泄露、异常账单、紧急停机。

你需要的 Skills（按类型）

快速体验版（先跑一轮）

1) 先备份（原文）

tar -czf ~/openclaw-backup-$(date +%Y%m%d).tar.gz ~/.openclaw/

2) 先做三项高价值检查

# 查历史是否泄露 key
git log --all -p | grep -i "sk-ant-\|sk-\|api_key"

# 检查网关监听
netstat -an | grep 18789 | grep LISTEN

# 查看已配对设备
openclaw devices list

稳定自动版（可长期运行）

1) API Key 与配置隔离（原文）

{
  "env": {
    "ANTHROPIC_API_KEY": "${ANTHROPIC_API_KEY}",
    "OPENAI_API_KEY": "${OPENAI_API_KEY}",
    "BRAVE_API_KEY": "${BRAVE_API_KEY}",
    "GATEWAY_TOKEN": "${GATEWAY_TOKEN}"
  }
}

2) 默认工具策略（原文）

{
  "agents": {
    "defaults": {
      "tools": {
        "allow": ["read", "write", "edit", "web_search", "web_fetch", "memory_search", "memory_get"],
        "deny": ["exec", "process", "cron", "gateway", "nodes"]
      }
    }
  }
}

3) 成本保护（原文核心）

• 在 provider 控制台设置硬上限与告警（50%、80%）。
• 监控/cron/public agent 不使用高价模型（如 Opus）。
• 仅把 Opus 给明确需要高质量推理的人工触发任务。

4) 网关与权限（原文）

{
  "gateway": {
    "port": 18789,
    "mode": "local",
    "bind": "loopback",
    "auth": { "mode": "token", "token": "${GATEWAY_TOKEN}" }
  },
  "logging": {
    "redactSensitive": "tools"
  }
}

chmod 700 ~/.openclaw
chmod 600 ~/.openclaw/openclaw.json
chmod 700 ~/.openclaw/credentials

5) 设备配对卫生（原文）

openclaw devices list
openclaw devices remove <device-id>
openclaw devices clear --yes
openclaw devices clear --yes --pending

6) 备份与应急（原文）

# 停机开关
openclaw gateway stop

# 关闭高风险通道
openclaw config set channels.telegram.enabled false
openclaw config set channels.discord.enabled false

成功标准

• API Key 不硬编码，历史泄露可追溯并已轮换。
• 默认策略阻断危险工具，按 agent 最小授权。
• 网关仅本地监听，设备配对定期清理。
• 备份与应急动作可在演练中跑通。

源文件

来源：awesome-openclaw-zh
原始文件：production-security-hardening.md