firm-security-audit

⚠️ AI生成内容——在生产环境进行任何修改前需经安全专家验证。

目的

此技能是任何OpenClaw网关部署或网络暴露前的强制性安全关口。它直接弥补了openclaw/openclaw仓库外部识别的关键缺口，无需修改上游代码。

覆盖的缺口：

已激活的工具

openclawsecurityscan — SQL注入检测 (C1)
openclawsandboxaudit — 沙箱配置验证 (C2)
openclawsessionconfig_check — 会话密钥持久性检查 (C3)
openclawratelimit_check — 速率限制器验证 (H8)
firmexportslack_digest — 发现严重问题时通知团队

强制审计序列

每次部署前或激活Tailscale Funnel前执行。

步骤1 — 沙箱审计 (C2，严重优先级)

json
{
tool: openclawsandboxaudit,
args: {
config_path: /path/to/.openclaw/config.yaml
}
}

预期结果： severity: OK 且 sandbox_mode: non-main 或 all
如为严重： 在继续前应用提供的fix_snippet

步骤2 — SQL注入扫描 (C1)

json
{
tool: openclawsecurityscan,
args: {
target_path: /path/to/openclaw/src/api,
endpoint: /api/metrics/database,
scan_depth: 4
}
}

预期结果： criticalcount: 0，highcount: 0
如为严重或高： 在部署前应用remediationbyseverity

步骤3 — 会话密钥检查 (C3)

json
{
tool: openclawsessionconfig_check,
args: {
composefilepath: /path/to/docker-compose.yml,
envfilepath: /path/to/.env
}
}

预期结果： sessionsecretfound: true
如为高： 应用提供的fixdocker或fixenv

步骤4 — 速率限制检查 (H8)

json
{
tool: openclawratelimit_check,
args: {
gatewayconfigpath: /path/to/.openclaw/config.yaml,
check_funnel: true
}
}

预期结果： ratelimiterdetected: true 或 funnel_active: false
如为严重（funnel激活但无速率限制）： 立即应用fixnginx或fixcaddy

步骤5 — 严重警报（自动）

如果任一审计返回severity: CRITICAL，自动通过以下方式发送：
json
{
tool: firmexportslack_digest,
args: {
objective: 安全审计 — 发现严重问题,
content: <审计结果>,
channel: #security-alerts
}
}

Matrix E2EE检查清单 (M10)

手动文档验证（无可用工具——过于仓库特定）：

• - [ ] OpenClaw的CONTRIBUTING.md是否提及Matrix E2EE状态？
• [ ] 隐私敏感的Matrix用户是否被告知缺少E2EE？
• [ ] 是否有ADR（firmadrgenerate）记录了Matrix E2EE决策？

快速修复模板

C2 — 沙箱修复（在config.yaml中添加）

yaml
agents:
defaults:
sandbox:
mode: non-main # ← 为非main会话启用Docker隔离
sessions:
main:
sandbox:
mode: off # main保留主机访问权限（有意为之）

C3 — 会话密钥（docker-compose.yml）

yaml
services:
openclaw:
environment:
SESSIONSECRET: ${SESSIONSECRET:?SESSION_SECRET env var required}

生成：openssl rand -base64 48 > /etc/openclaw/session.secret

H8 — Nginx速率限制

nginx
limitreqzone $binaryremoteaddr zone=openclaw:10m rate=30r/m;
server {
location /ws {
limit_req zone=openclaw burst=10 nodelay;
proxy_pass http://127.0.0.1:18789;
proxyhttpversion 1.1;
proxysetheader Upgrade $http_upgrade;
proxysetheader Connection upgrade;
}
}

升级处理

CI/CD集成

在GitHub Actions工作流中添加：

yaml

• - name: 安全审计 (firm-security-audit)

💎 支持

如果此技能对您有帮助，您可以支持开发：

狗狗币：DQBggqFNWsRNTPb6kkiwppnMo1Hm8edfWq