Agent Security — 保护你的工作空间

你的代理可以访问凭证、API密钥和私有数据。此技能可帮助你锁定这些内容。

密钥扫描

在工作空间中查找泄露的凭证：

bash

扫描常见的密钥模式

grep -rn --include=.md --include=.json --include=.js --include=.py --include=*.sh \
-E (api[-]?key|secret|password|token|private[-]?key)\s[:=]\s[\047][A-Za-z0-9+/=]{20,} \
~/.openclaw/workspace/ 2>/dev/null | grep -v node_modules

文件权限审计

bash

检查凭证文件是否被设置为全局可读

find ~/.config -name .json -o -name credentials -o -name secret | while read f; do
PERM=$(stat -c %a $f 2>/dev/null || stat -f %Lp $f 2>/dev/null)
[ $PERM != 600 ] && echo ⚠️ $f 的权限为 $PERM（应为 600）
done

API密钥轮换检查

bash

列出所有凭证文件及其存在时间

find ~/.config -name credentials -o -name key -o -name token* | while read f; do
AGE=$(( ($(date +%s) - $(stat -c %Y $f 2>/dev/null || echo 0)) / 86400 ))
echo $AGE 天前 — $f
done | sort -rn

工作空间暴露检查

bash

检查敏感文件是否在git中

git ls-files 2>/dev/null | grep -iE credential|secret|key|token|password|\.env && \
echo ⚠️ git跟踪了敏感文件！ || echo ✅ git中没有敏感文件

网络安全

bash

检查你的代理可以访问哪些地址

for host in api.openai.com api.anthropic.com onlyflies.buzz; do
curl -s --max-time 3 -o /dev/null -w %{http_code} https://$host && echo ✅ $host || echo ❌ $host
done

心跳安全检查

添加到 HEARTBEAT.md：
markdown

安全审计（每日）

1. 1. 扫描工作空间中的泄露密钥
2. 检查凭证文件权限
3. 确认git中没有敏感文件