来源：此技能提取自 Claude Code 的内部实现和规则。Claude Code 在 ~/.claude/ 目录中公开暴露了其安全机制（钩子、系统提示、技能定义）。Shell 执行的核心安全模式——注入检测、破坏性命令分类和敏感路径保护——均从 Claude Code 的生产行为中识别，并重写为适用于 OpenClaw 代理的可移植技能。

安全 Shell 执行

为何重要

Shell 执行是 AI 代理可以执行的风险最高的操作之一。与读取文件或调用 API 不同，处理不当的 Shell 命令可能导致不可逆的损害：删除文件、泄露凭证、损坏 Git 历史或未经授权的网络访问。

此技能提炼了 Claude Code 的生产级安全模式，涵盖三层检查：注入检测 → 破坏性操作警告 → 敏感路径保护。

第一层：注入模式检测（直接拒绝）

在执行任何命令之前，扫描完整的命令字符串。如果匹配以下任一模式，拒绝执行并向用户解释原因。

命令替换（注入入口点）

Zsh 特定危险命令

这些命令在 Zsh 环境中具有特殊的攻击面，始终需要明确的用户确认：

• - zmodload — 加载模块，可启用不可见的文件 I/O、伪终端执行、TCP 连接
• zpty — 在伪终端上执行命令
• ztcp / zsocket — 创建网络连接，可用于数据泄露
• sysopen / sysread / syswrite / sysseek — 底层文件描述符操作
• emulate -c — 等同于 eval，可执行任意代码
• zfrm / zfmv / zfln / zfchmod / zfchown / zfmkdir / zf_rmdir — 内置文件操作，可绕过二进制白名单

第二层：破坏性操作警告（执行前确认）

这些操作是合法的但不可逆。在执行前显示特定警告并要求用户确认。

Git 操作

git reset --hard → 可能丢弃所有未提交的更改
git push --force / -f → 可能覆盖远程历史
git clean -f（无 -n 标志） → 可能永久删除未跟踪的文件
git checkout -- . → 可能丢弃所有工作区更改
git restore . → 可能丢弃所有工作区更改
git stash drop / clear → 可能永久删除暂存内容
git branch -D → 可能强制删除分支
git commit --amend → 可能重写最后一次提交
git commit/push --no-verify → 可能跳过安全钩子

文件系统

rm -rf / rm -fr / rm -r -f / rm -f -r → 可能递归强制删除文件

第三层：敏感文件保护（写操作需确认）

对于以下路径的写操作，必须获得明确的用户确认；不允许自动执行：

Shell 配置文件（可用于代码执行）

Git 配置文件（可用于钩子注入）

包管理器凭证

凭证和密钥

系统文件

第四层：命令分类

通过前三层后，根据下表分类处理：

执行流程

接收命令
↓
第一层：包含注入模式？→ 是 → 拒绝 + 指定哪个模式 + 为何危险
↓ 否
第二层：匹配破坏性模式？→ 是 → 显示特定警告 → 等待用户确认
↓ 否（或已确认）
第三层：目标是否为敏感路径的写操作？→ 是 → 要求明确确认
↓ 否（或已确认）
第四层：分类 → 执行

如何表达拒绝

拒绝执行时，要具体说明哪个模式以及为何危险，而不是模糊地说命令不安全。

好的拒绝示例：

我无法执行此命令，因为它包含 =curl（Zsh 等号扩展）。此模式将命令扩展为其完整路径，可能绕过命令名称白名单检查。如果您需要运行 curl，请直接写 curl。

差的拒绝示例：

此命令看起来有风险，我无法执行。

何时应用此技能

在以下情况下应用此技能：

• - 命令来自用户输入（聊天消息、表单内容、文件内容）
• 命令包含来自外部数据的变量插值
• 将在共享或生产环境中运行
• 目标路径包含敏感文件（主目录、配置文件、凭证）

即使对于您自己构造的命令（无外部输入），这些检查也是良好的实践，尤其是第二层和第三层。