​

موافقات Exec

​

أين يُطبَّق

• مضيف gateway ← عملية openclaw على جهاز gateway
• مضيف node ← مشغّل العقدة (تطبيق macOS المرافق أو مضيف عقدة بلا واجهة)

• يُعد المتصلون الموثَّقون لدى Gateway مشغّلين موثوقين لذلك Gateway.
• تمدّ العقد المقترنة هذه القدرة الموثوقة للمشغّل إلى مضيف العقدة.
• تقلل موافقات Exec من خطر التنفيذ غير المقصود، لكنها ليست حد مصادقة لكل مستخدم.
• تربط التشغيلات الموافق عليها على مضيف العقدة سياق التنفيذ القياسي: cwd القياسي وargv الدقيق وربط env عند وجوده، ومسار الملف التنفيذي المثبّت عند انطباقه.
• بالنسبة إلى نصوص shell وعمليات استدعاء ملفات المفسّر/بيئة التشغيل المباشرة، يحاول OpenClaw أيضًا ربط مُعامل ملف محلي ملموس واحد. إذا تغيّر هذا الملف المرتبط بعد الموافقة ولكن قبل التنفيذ، يُرفض التشغيل بدلًا من تنفيذ محتوى تغيّر عن المعتمد.
• إن ربط الملف هذا هو عمدًا محاولة بأفضل جهد، وليس نموذجًا دلاليًا كاملًا لكل مسارات تحميل المفسّرات/بيئات التشغيل. وإذا تعذّر على وضع الموافقة تحديد ملف محلي ملموس واحد بالضبط لربطه، فإنه يرفض إنشاء تشغيل مدعوم بموافقة بدلًا من الادعاء بتغطية كاملة.

• خدمة مضيف node تمرر system.run إلى تطبيق macOS عبر IPC محلي.
• تطبيق macOS يفرض الموافقات + ينفّذ الأمر في سياق واجهة المستخدم.

​

الإعدادات والتخزين

{
  "version": 1,
  "socket": {
    "path": "~/.openclaw/exec-approvals.sock",
    "token": "base64url-token"
  },
  "defaults": {
    "security": "deny",
    "ask": "on-miss",
    "askFallback": "deny",
    "autoAllowSkills": false
  },
  "agents": {
    "main": {
      "security": "allowlist",
      "ask": "on-miss",
      "askFallback": "deny",
      "autoAllowSkills": true,
      "allowlist": [
        {
          "id": "B0C8C0B3-2C2D-4F8A-9A3C-5A4B3C2D1E0F",
          "pattern": "~/Projects/**/bin/rg",
          "lastUsedAt": 1737150000000,
          "lastUsedCommand": "rg -n TODO",
          "lastResolvedPath": "/Users/user/Projects/.../bin/rg"
        }
      ]
    }
  }
}

​

وضع “YOLO” بدون موافقات

• سياسة exec المطلوبة في إعدادات OpenClaw (tools.exec.*)
• سياسة الموافقات المحلية على المضيف في ~/.openclaw/exec-approvals.json

• tools.exec.security: ‏full على gateway/node
• tools.exec.ask: ‏off
• المضيف askFallback: ‏full

• tools.exec.host=auto يختار مكان تشغيل exec: داخل sandbox عند توفره، وإلا فعلى gateway.
• يحدد YOLO كيفية الموافقة على host exec: ‏security=full مع ask=off.
• لا يجعل auto التوجيه إلى gateway تجاوزًا مجانيًا من جلسة داخل sandbox. يُسمح بطلب host=node لكل استدعاء من auto، ولا يُسمح بـ host=gateway من auto إلا عندما لا تكون هناك بيئة تشغيل sandbox نشطة. إذا أردت افتراضيًا ثابتًا غير auto، فاضبط tools.exec.host أو استخدم /exec host=... صراحة.

openclaw config set tools.exec.host gateway
openclaw config set tools.exec.security full
openclaw config set tools.exec.ask off
openclaw gateway restart

openclaw approvals set --stdin <<'EOF'
{
  version: 1,
  defaults: {
    security: "full",
    ask: "off",
    askFallback: "full"
  }
}
EOF

openclaw approvals set --node <id|name|ip> --stdin <<'EOF'
{
  version: 1,
  defaults: {
    security: "full",
    ask: "off",
    askFallback: "full"
  }
}
EOF

• /exec security=full ask=off يغيّر الجلسة الحالية فقط.
• /elevated full هو اختصار للطوارئ يتخطى أيضًا موافقات exec لتلك الجلسة.

​

عناصر التحكم في السياسة

​

الأمان (exec.security)

• deny: حظر جميع طلبات host exec.
• allowlist: السماح فقط بالأوامر الموجودة في قائمة السماح.
• full: السماح بكل شيء (مكافئ لـ elevated).

​

السؤال (exec.ask)

• off: عدم إظهار مطالبة مطلقًا.
• on-miss: إظهار مطالبة فقط عندما لا تتطابق قائمة السماح.
• always: إظهار مطالبة لكل أمر.
• الثقة الدائمة allow-always لا تمنع المطالبات عندما يكون وضع السؤال الفعلي هو always

​

الاحتياط عند السؤال (askFallback)

• deny: الحظر.
• allowlist: السماح فقط إذا تطابقت قائمة السماح.
• full: السماح.

​

تقوية eval للمفسّر الداخلي (tools.exec.strictInlineEval)

• python -c
• node -e, node --eval, node -p
• ruby -e
• perl -e, perl -E
• php -r
• lua -e
• osascript -e

• ما زالت هذه الأوامر تحتاج إلى موافقة صريحة؛
• ولا يقوم allow-always بحفظ إدخالات جديدة لها في قائمة السماح تلقائيًا.

​

قائمة السماح (لكل وكيل)

• ~/Projects/**/bin/peekaboo
• ~/.local/bin/*
• /opt/homebrew/bin/rg

• id معرّف UUID ثابت يُستخدم لهوية واجهة المستخدم (اختياري)
• last used الطابع الزمني لآخر استخدام
• last used command
• last resolved path

​

السماح التلقائي لـ CLI الخاصة بـ Skills

• هذه قائمة سماح ضمنية لتسهيل الاستخدام، منفصلة عن إدخالات قائمة السماح اليدوية للمسارات.
• وهي مخصصة لبيئات المشغّل الموثوق حيث يكون Gateway والعقدة ضمن حد الثقة نفسه.
• إذا كنت تحتاج إلى ثقة صريحة صارمة، فأبقِ autoAllowSkills: false واستخدم فقط إدخالات قائمة السماح اليدوية للمسارات.

​

الملفات التنفيذية الآمنة (stdin-only)

• grep: --dereference-recursive, --directories, --exclude-from, --file, --recursive, -R, -d, -f, -r
• jq: --argfile, --from-file, --library-path, --rawfile, --slurpfile, -L, -f
• sort: --compress-program, --files0-from, --output, --random-source, --temporary-directory, -T, -o
• wc: --files0-from

​

الملفات التنفيذية الآمنة مقابل قائمة السماح

• تأتي safeBins من الإعدادات (tools.exec.safeBins أو agents.list[].tools.exec.safeBins لكل وكيل).
• تأتي safeBinTrustedDirs من الإعدادات (tools.exec.safeBinTrustedDirs أو agents.list[].tools.exec.safeBinTrustedDirs لكل وكيل).
• تأتي safeBinProfiles من الإعدادات (tools.exec.safeBinProfiles أو agents.list[].tools.exec.safeBinProfiles لكل وكيل). تتجاوز مفاتيح ملفات التعريف الخاصة بكل وكيل المفاتيح العامة.
• تعيش إدخالات قائمة السماح في ~/.openclaw/exec-approvals.json المحلي على المضيف ضمن agents.<id>.allowlist (أو عبر Control UI / openclaw approvals allowlist ...).
• يحذّر openclaw security audit باستخدام tools.exec.safe_bins_interpreter_unprofiled عندما تظهر ملفات تنفيذية للمفسّرات/بيئات التشغيل في safeBins من دون ملفات تعريف صريحة.
• يمكن لـ openclaw doctor --fix إنشاء إدخالات safeBinProfiles.<bin> المخصصة المفقودة بشكل أولي كـ {} (راجعها وأحكمها بعد ذلك). لا تُنشأ ملفات تعريف المفسّرات/بيئات التشغيل تلقائيًا.

​

التحرير في Control UI

​

تدفق الموافقة

• يُعد مسار exec الخاص بالعقدة خطة قياسية واحدة مقدمًا
• ويخزّن سجل الموافقة تلك الخطة وبيانات الربط الخاصة بها
• وبمجرد الموافقة، يعيد استدعاء system.run النهائي استخدام الخطة المخزنة بدلًا من الوثوق بتعديلات لاحقة من جهة المستدعي
• وإذا غيّر المستدعي command أو rawCommand أو cwd أو agentId أو sessionKey بعد إنشاء طلب الموافقة، يرفض gateway التشغيل المُمرّر باعتباره عدم تطابق مع الموافقة

​

أوامر المفسّر/بيئة التشغيل

• يُربط سياق argv/‏cwd/‏env الدقيق دائمًا.
• تُربط صيغ نصوص shell المباشرة وصيغ الملفات المباشرة لبيئة التشغيل بأفضل جهد مع لقطة ملف محلي ملموس واحدة.
• تُفكك صيغ مغلفات مديري الحزم الشائعة التي ما زالت تُحل إلى ملف محلي مباشر واحد (مثل pnpm exec وpnpm node وnpm exec وnpx) قبل الربط.
• إذا تعذّر على OpenClaw تحديد ملف محلي ملموس واحد بالضبط لأمر مفسّر/بيئة تشغيل (مثل package scripts أو صيغ eval أو سلاسل التحميل الخاصة ببيئات التشغيل أو الصيغ متعددة الملفات الملتبسة)، فيُرفض التنفيذ المدعوم بموافقة بدلًا من الادعاء بتغطية دلالية لا يملكها.
• في هذه التدفقات، فضّل sandboxing أو حد مضيف منفصل أو سير عمل صريح موثوق عبر allowlist/full حيث يقبل المشغّل الدلالات الأوسع لبيئة التشغيل.

​

سلوك تسليم المتابعة

• إذا وُجد هدف تسليم خارجي صالح (قناة قابلة للتسليم مع الهدف to)، تستخدم المتابعة تلك القناة.
• في تدفقات webchat فقط أو الجلسات الداخلية من دون هدف خارجي، يبقى تسليم المتابعة داخل الجلسة فقط (deliver: false).
• إذا طلب المستدعي صراحة تسليمًا خارجيًا صارمًا من دون قناة خارجية قابلة للحل، يفشل الطلب مع INVALID_REQUEST.
• إذا كان bestEffortDeliver مفعّلًا ولم يمكن حل أي قناة خارجية، فيُخفَّض التسليم إلى داخل الجلسة فقط بدلًا من الفشل.

• الأمر + الوسائط
• cwd
• معرّف الوكيل
• مسار الملف التنفيذي المحلول
• بيانات المضيف + السياسة

• Allow once → شغّل الآن
• Always allow → أضف إلى قائمة السماح + شغّل
• Deny → احظر

​

تمرير الموافقة إلى قنوات الدردشة

​

تمرير موافقة plugin

​

الموافقة من الدردشة نفسها على أي قناة

​

التسليم المحلي للموافقة

• ما زالت سياسة host exec هي التي تحدد ما إذا كانت موافقة exec مطلوبة
• يتحكم approvals.exec في تمرير مطالبات الموافقة إلى وجهات دردشة أخرى
• يتحكم channels.<channel>.execApprovals فيما إذا كانت تلك القناة تعمل كعميل موافقة محلي

• تدعم القناة التسليم المحلي للموافقة
• يمكن حل الموافقين من execApprovals.approvers الصريح أو من مصادر الاحتياط الموثقة لتلك القناة
• تكون channels.<channel>.execApprovals.enabled غير مضبوطة أو تساوي "auto"

• Discord: ‏channels.discord.execApprovals.*
• Slack: ‏channels.slack.execApprovals.*
• Telegram: ‏channels.telegram.execApprovals.*

• تستخدم Slack وMatrix وMicrosoft Teams وغيرها من الدردشات القابلة للتسليم نموذج المصادقة العادي للقناة من أجل /approve في الدردشة نفسها
• عندما يُفعَّل عميل موافقة محلي تلقائيًا، يكون هدف التسليم المحلي الافتراضي هو الرسائل الخاصة للموافقين
• بالنسبة إلى Discord وTelegram، لا يمكن الموافقة أو الرفض إلا من قبل الموافقين المحلولين
• يمكن أن يكون موافقو Discord صريحين (execApprovals.approvers) أو مستنتجين من commands.ownerAllowFrom
• يمكن أن يكون موافقو Telegram صريحين (execApprovals.approvers) أو مستنتجين من إعدادات المالك الحالية (allowFrom، بالإضافة إلى defaultTo للرسائل المباشرة حيثما كان مدعومًا)
• يمكن أن يكون موافقو Slack صريحين (execApprovals.approvers) أو مستنتجين من commands.ownerAllowFrom
• تحافظ أزرار Slack المحلية على نوع معرّف الموافقة، بحيث يمكن لمعرّفات plugin: حل موافقات plugin من دون طبقة احتياط ثانية محلية خاصة بـ Slack
• يكون توجيه الرسائل الخاصة/القنوات المحلي في Matrix خاصًا بـ exec فقط؛ أما موافقات plugin في Matrix فتبقى على مساري /approve المشترك في الدردشة نفسها وتمرير approvals.plugin الاختياري
• لا يلزم أن يكون مقدّم الطلب من الموافقين
• يمكن للدردشة الأصلية الموافقة مباشرة باستخدام /approve عندما تكون تلك الدردشة تدعم بالفعل الأوامر والردود
• توجّه أزرار الموافقة المحلية في Discord بحسب نوع معرّف الموافقة: تذهب معرّفات plugin: مباشرة إلى موافقات plugin، وكل شيء آخر يذهب إلى موافقات exec
• تتبع أزرار الموافقة المحلية في Telegram الاحتياط المحدود نفسه من exec إلى plugin كما في /approve
• عندما يفعّل target المحلي التسليم إلى دردشة المنشأ، تتضمن مطالبات الموافقة نص الأمر
• تنتهي صلاحية موافقات exec المعلقة بعد 30 دقيقة افتراضيًا
• إذا لم توجد واجهة مشغّل أو عميل موافقة مهيأ يمكنه قبول الطلب، تعود المطالبة إلى askFallback

• Discord
• Telegram

​

تدفق IPC على macOS

• وضع Unix socket هو 0600، ويُخزَّن token في exec-approvals.json.
• فحص النظير من المستخدم نفسه UID.
• تحدٍّ/استجابة (nonce + HMAC token + request hash) + مدة TTL قصيرة.

​

أحداث النظام

• Exec running (فقط إذا تجاوز الأمر عتبة إشعار التشغيل)
• Exec finished
• Exec denied

​

سلوك الرفض عند عدم الموافقة

​

الآثار

• full قوي جدًا؛ فضّل قوائم السماح كلما أمكن.
• يبقيك ask ضمن الحلقة مع السماح بموافقات سريعة.
• تمنع قوائم السماح لكل وكيل تسرّب موافقات أحد الوكلاء إلى الوكلاء الآخرين.
• لا تنطبق الموافقات إلا على طلبات host exec من مرسلين مخوّلين. لا يمكن للمرسلين غير المخوّلين إصدار /exec.
• يُعد /exec security=full وسيلة مريحة على مستوى الجلسة للمشغّلين المخوّلين، ويتخطى الموافقات عن عمد. ولحظر host exec حظرًا تامًا، اضبط أمان الموافقات على deny أو امنع أداة exec عبر سياسة الأداة.

• أداة Exec
• وضع Elevated
• Skills

​

ذو صلة

• Exec — أداة تنفيذ أوامر shell
• Sandboxing — أوضاع sandbox ووصول مساحة العمل
• Security — نموذج الأمان والتقوية
• Sandbox vs Tool Policy vs Elevated — متى تستخدم كلًا منها