​

موافقات exec

​

أين يُطبّق

• مضيف gateway → عملية openclaw على جهاز gateway
• مضيف node → مشغل node ‏(تطبيق macOS المرافق أو مضيف node headless)

• المستدعون المصادق عليهم عبر Gateway هم مشغلون موثوقون لذلك Gateway.
• توسّع Nodes المقترنة قدرة المشغل الموثوق هذه إلى مضيف node.
• تقلل موافقات exec خطر التنفيذ العرضي، لكنها ليست حد مصادقة لكل مستخدم.
• تربط عمليات التشغيل الموافق عليها على مضيف node سياق التنفيذ القياسي: cwd القياسي، وargv الدقيق، وربط env عند وجوده، ومسار الملف التنفيذي المثبت عندما ينطبق ذلك.
• بالنسبة إلى نصوص shell البرمجية واستدعاءات الملفات المباشرة للمفسر/بيئة التشغيل، يحاول OpenClaw أيضًا ربط معامل ملف محلي ملموس واحد. وإذا تغيّر هذا الملف المربوط بعد الموافقة وقبل التنفيذ، فيُرفض التشغيل بدل تنفيذ محتوى منجرف.
• يكون ربط الملف هذا عمدًا على أساس أفضل جهد، وليس نموذجًا دلاليًا كاملًا لكل مسار تحميل لمفسر/بيئة تشغيل. وإذا تعذر على وضع الموافقة تحديد ملف محلي ملموس واحد للربط، فإنه يرفض إصدار تشغيل مدعوم بالموافقة بدل التظاهر بوجود تغطية كاملة.

• تقوم خدمة مضيف node بتمرير system.run إلى تطبيق macOS عبر IPC محلي.
• يفرض تطبيق macOS الموافقات + ينفذ الأمر في سياق واجهة المستخدم.

​

الإعدادات والتخزين

{
  "version": 1,
  "socket": {
    "path": "~/.openclaw/exec-approvals.sock",
    "token": "base64url-token"
  },
  "defaults": {
    "security": "deny",
    "ask": "on-miss",
    "askFallback": "deny",
    "autoAllowSkills": false
  },
  "agents": {
    "main": {
      "security": "allowlist",
      "ask": "on-miss",
      "askFallback": "deny",
      "autoAllowSkills": true,
      "allowlist": [
        {
          "id": "B0C8C0B3-2C2D-4F8A-9A3C-5A4B3C2D1E0F",
          "pattern": "~/Projects/**/bin/rg",
          "lastUsedAt": 1737150000000,
          "lastUsedCommand": "rg -n TODO",
          "lastResolvedPath": "/Users/user/Projects/.../bin/rg"
        }
      ]
    }
  }
}

​

وضع “YOLO” من دون موافقة

• سياسة exec المطلوبة في إعدادات OpenClaw (tools.exec.*)
• سياسة الموافقات المحلية على المضيف في ~/.openclaw/exec-approvals.json

• tools.exec.security: ‏full على gateway/node
• tools.exec.ask: ‏off
• المضيف askFallback: ‏full

• يختار tools.exec.host=auto مكان تشغيل exec: في العزل إن توفر، وإلا فعلى gateway.
• يختار YOLO كيفية الموافقة على exec على المضيف: security=full مع ask=off.
• في وضع YOLO، لا يضيف OpenClaw بوابة موافقة إرشادية منفصلة لتعتيم الأوامر أو طبقة رفض مسبق للنصوص البرمجية فوق سياسة exec على المضيف المهيأة.
• لا يجعل auto توجيه gateway تجاوزًا مجانيًا من جلسة معزولة. يُسمح بطلب host=node لكل استدعاء من auto، ولا يُسمح بـ host=gateway من auto إلا عندما لا يكون هناك وقت تشغيل عزل نشط. وإذا كنت تريد افتراضيًا ثابتًا غير auto، فاضبط tools.exec.host أو استخدم /exec host=... صراحةً.

openclaw config set tools.exec.host gateway
openclaw config set tools.exec.security full
openclaw config set tools.exec.ask off
openclaw gateway restart

openclaw approvals set --stdin <<'EOF'
{
  version: 1,
  defaults: {
    security: "full",
    ask: "off",
    askFallback: "full"
  }
}
EOF

openclaw exec-policy preset yolo

• tools.exec.host/security/ask المحلية
• الإعدادات الافتراضية المحلية في ~/.openclaw/exec-approvals.json

openclaw approvals set --node <id|name|ip> --stdin <<'EOF'
{
  version: 1,
  defaults: {
    security: "full",
    ask: "off",
    askFallback: "full"
  }
}
EOF

• لا يقوم openclaw exec-policy بمزامنة موافقات node
• يُرفض openclaw exec-policy set --host node
• تُجلب موافقات exec الخاصة بـ node من node في وقت التشغيل، لذا يجب أن تستخدم التحديثات الموجهة إلى node الأمر openclaw approvals --node ...

• يغيّر /exec security=full ask=off الجلسة الحالية فقط.
• يُعد /elevated full اختصارًا للطوارئ يتجاوز أيضًا موافقات exec لتلك الجلسة.

​

مفاتيح السياسة

​

الأمان (exec.security)

• deny: حظر كل طلبات exec على المضيف.
• allowlist: السماح فقط بالأوامر الموجودة في قائمة السماح.
• full: السماح بكل شيء (مكافئ لـ elevated).

​

Ask (exec.ask)

• off: عدم المطالبة أبدًا.
• on-miss: المطالبة فقط عندما لا تطابق قائمة السماح.
• always: المطالبة عند كل أمر.
• لا يؤدي trust الدائم من نوع allow-always إلى كتم المطالبات عندما يكون وضع ask الفعال هو always

​

رجوع ask الاحتياطي (askFallback)

• deny: الحظر.
• allowlist: السماح فقط إذا طابقت قائمة السماح.
• full: السماح.

​

تقوية eval المضمّن للمفسر (tools.exec.strictInlineEval)

• python -c
• node -e, node --eval, node -p
• ruby -e
• perl -e, perl -E
• php -r
• lua -e
• osascript -e

• لا تزال هذه الأوامر تحتاج إلى موافقة صريحة؛
• ولا يقوم allow-always بحفظ إدخالات جديدة في قائمة السماح لها تلقائيًا.

​

قائمة السماح (لكل وكيل)

• ~/Projects/**/bin/peekaboo
• ~/.local/bin/*
• /opt/homebrew/bin/rg

• id UUID ثابت يُستخدم لهوية واجهة المستخدم (اختياري)
• آخر استخدام
• آخر أمر مستخدم
• آخر مسار محلول

​

السماح التلقائي لـ CLI الخاصة بـ Skills

• هذه قائمة سماح ضمنية لتسهيل الاستخدام، منفصلة عن إدخالات قائمة السماح اليدوية للمسارات.
• وهي مخصصة لبيئات المشغل الموثوقة حيث يكون Gateway وnode ضمن حد الثقة نفسه.
• إذا كنت تحتاج إلى ثقة صريحة صارمة، فأبقِ autoAllowSkills: false واستخدم إدخالات قائمة السماح اليدوية للمسارات فقط.

​

Safe bins ‏(stdin-only)

• grep: --dereference-recursive, --directories, --exclude-from, --file, --recursive, -R, -d, -f, -r
• jq: --argfile, --from-file, --library-path, --rawfile, --slurpfile, -L, -f
• sort: --compress-program, --files0-from, --output, --random-source, --temporary-directory, -T, -o
• wc: --files0-from

​

Safe bins مقابل قائمة السماح

• يأتي safeBins من الإعدادات (tools.exec.safeBins أو لكل وكيل agents.list[].tools.exec.safeBins).
• يأتي safeBinTrustedDirs من الإعدادات (tools.exec.safeBinTrustedDirs أو لكل وكيل agents.list[].tools.exec.safeBinTrustedDirs).
• يأتي safeBinProfiles من الإعدادات (tools.exec.safeBinProfiles أو لكل وكيل agents.list[].tools.exec.safeBinProfiles). وتتجاوز مفاتيح الملفات التعريفية لكل وكيل المفاتيح العامة.
• تعيش إدخالات قائمة السماح في ~/.openclaw/exec-approvals.json المحلي على المضيف تحت agents.<id>.allowlist (أو عبر Control UI / openclaw approvals allowlist ...).
• يحذّر openclaw security audit بواسطة tools.exec.safe_bins_interpreter_unprofiled عندما تظهر ثنائيات المفسرات/بيئات التشغيل داخل safeBins من دون ملفات تعريف صريحة.
• يمكن لـ openclaw doctor --fix إنشاء إدخالات safeBinProfiles.<bin> المخصصة المفقودة بصيغة {} (راجعها وأحكمها بعد ذلك). ولا تُنشأ ثنائيات المفسرات/بيئات التشغيل تلقائيًا.

​

التحرير في Control UI

​

تدفق الموافقة

• يقوم مسار exec الخاص بـ node بإعداد خطة قياسية واحدة مقدمًا
• ويخزن سجل الموافقة هذه الخطة وبيانات الربط الخاصة بها
• وبمجرد الموافقة، يعيد استدعاء system.run النهائي الممرّر استخدام الخطة المخزنة بدل الوثوق بتعديلات المستدعي اللاحقة
• وإذا غيّر المستدعي command أو rawCommand أو cwd أو agentId أو sessionKey بعد إنشاء طلب الموافقة، فإن gateway يرفض التشغيل الممرّر باعتباره عدم تطابق في الموافقة

​

أوامر المفسر/بيئة التشغيل

• يتم دائمًا ربط سياق argv/cwd/env الدقيق.
• تُربط صيغ نصوص shell المباشرة وصيغ ملفات بيئة التشغيل المباشرة بأفضل جهد بلقطة ملف محلي ملموس واحد.
• تُفك قبل الربط صيغ مغلفات مديري الحزم الشائعة التي لا تزال تُحل إلى ملف محلي مباشر واحد (مثل pnpm exec, pnpm node, npm exec, npx).
• إذا تعذر على OpenClaw تحديد ملف محلي ملموس واحد بالضبط لأمر مفسر/بيئة تشغيل (مثل package scripts أو صيغ eval أو سلاسل التحميل الخاصة ببيئة التشغيل أو الصيغ متعددة الملفات الملتبسة)، فيُرفض التنفيذ المدعوم بالموافقة بدل الادعاء بتغطية دلالية لا يملكها.
• بالنسبة إلى سير العمل هذا، ففضّل العزل أو حد مضيف منفصل أو سير عمل صريحًا موثوقًا من نوع allowlist/full حيث يقبل المشغل الدلالات الأوسع لبيئة التشغيل.

​

سلوك تسليم المتابعة

• إذا وجد هدف تسليم خارجي صالح (قناة قابلة للتسليم بالإضافة إلى الهدف to)، فإن تسليم المتابعة يستخدم تلك القناة.
• في تدفقات webchat فقط أو الجلسات الداخلية من دون هدف خارجي، يبقى تسليم المتابعة على مستوى الجلسة فقط (deliver: false).
• إذا طلب المستدعي صراحةً تسليمًا خارجيًا صارمًا من دون قناة خارجية قابلة للتحليل، يفشل الطلب بخطأ INVALID_REQUEST.
• إذا كان bestEffortDeliver مفعّلًا ولم يمكن تحليل أي قناة خارجية، فيُخفّض التسليم إلى جلسة فقط بدل الفشل.

• الأمر + الوسائط
• cwd
• معرّف الوكيل
• مسار الملف التنفيذي المحلول
• بيانات المضيف + السياسة

• Allow once → التشغيل الآن
• Always allow → الإضافة إلى قائمة السماح + التشغيل
• Deny → الحظر

​

تمرير الموافقات إلى قنوات الدردشة

​

تمرير موافقات Plugin

​

الموافقات داخل الدردشة نفسها على أي قناة

​

تسليم الموافقات الأصلي

• لا تزال سياسة exec على المضيف هي التي تقرر ما إذا كانت موافقة exec مطلوبة
• تتحكم approvals.exec في تمرير مطالبات الموافقة إلى وجهات دردشة أخرى
• تتحكم channels.<channel>.execApprovals في ما إذا كانت تلك القناة تعمل كعميل موافقة أصلي

• تدعم القناة تسليم الموافقات الأصلي
• يمكن تحليل الموافقين من execApprovals.approvers الصريحة أو من مصادر الرجوع الاحتياطي الموثقة لتلك القناة
• تكون channels.<channel>.execApprovals.enabled غير معيّنة أو تساوي "auto"

• Discord: ‏channels.discord.execApprovals.*
• Slack: ‏channels.slack.execApprovals.*
• Telegram: ‏channels.telegram.execApprovals.*

• تستخدم Slack وMatrix وMicrosoft Teams والدردشات المشابهة القابلة للتسليم نموذج مصادقة القناة العادي من أجل /approve داخل الدردشة نفسها
• عندما يتم تمكين عميل موافقة أصلي تلقائيًا، يكون هدف التسليم الأصلي الافتراضي هو الرسائل المباشرة للموافقين
• بالنسبة إلى Discord وTelegram، لا يستطيع الموافقة أو الرفض إلا الموافقون المحللون
• يمكن أن يكون الموافقون في Discord صريحين (execApprovals.approvers) أو مستنتجين من commands.ownerAllowFrom
• يمكن أن يكون الموافقون في Telegram صريحين (execApprovals.approvers) أو مستنتجين من إعداد المالك الحالي (allowFrom، بالإضافة إلى defaultTo للرسائل المباشرة حيثما كان ذلك مدعومًا)
• يمكن أن يكون الموافقون في Slack صريحين (execApprovals.approvers) أو مستنتجين من commands.ownerAllowFrom
• تحافظ الأزرار الأصلية في Slack على نوع معرّف الموافقة، بحيث يمكن لمعرّفات plugin: تحليل موافقات Plugin من دون طبقة رجوع احتياطي ثانية محلية في Slack
• تتعامل عمليات التوجيه الأصلية للرسائل المباشرة/القنوات واختصارات التفاعل في Matrix مع كل من موافقات exec وPlugin؛ وتأتي صلاحية Plugin مع ذلك من channels.matrix.dm.allowFrom
• لا يلزم أن يكون الطالب من بين الموافقين
• يمكن للدردشة الأصلية الموافقة مباشرةً باستخدام /approve عندما تكون تلك الدردشة تدعم الأوامر والردود بالفعل
• تقوم أزرار الموافقة الأصلية في Discord بالتوجيه بحسب نوع معرّف الموافقة: إذ تنتقل معرّفات plugin: مباشرةً إلى موافقات Plugin، وكل ما عدا ذلك ينتقل إلى موافقات exec
• تتبع أزرار الموافقة الأصلية في Telegram الرجوع الاحتياطي المقيّد نفسه من exec إلى Plugin كما في /approve
• عندما يمكّن target الأصلي تسليم دردشة المنشأ، تتضمن مطالبات الموافقة نص الأمر
• تنتهي صلاحية موافقات exec المعلّقة بعد 30 دقيقة افتراضيًا
• إذا لم تستطع أي واجهة مستخدم للمشغّل أو عميل موافقة مهيأ قبول الطلب، فإن المطالبة تعود إلى askFallback

• Discord
• Telegram

​

تدفق IPC في macOS

• وضع Unix socket ‏0600، والرمز مخزَّن في exec-approvals.json.
• فحص النظير بنفس UID.
• تحدٍّ/استجابة (nonce + HMAC token + request hash) + TTL قصير.

​

أحداث النظام

• Exec running ‏(فقط إذا تجاوز الأمر حد إشعار التشغيل)
• Exec finished
• Exec denied

​

سلوك الموافقة المرفوضة

​

التداعيات

• يُعد full قويًا؛ ففضّل قوائم السماح عندما يكون ذلك ممكنًا.
• يُبقيك ask ضمن الحلقة مع السماح بموافقات سريعة.
• تمنع قوائم السماح لكل وكيل تسرب موافقات وكيل إلى آخر.
• لا تنطبق الموافقات إلا على طلبات exec على المضيف من مُرسلين مخولين. ولا يستطيع المُرسلون غير المخولين إصدار /exec.
• يُعد /exec security=full وسيلة راحة على مستوى الجلسة للمشغلين المخولين ويتجاوز الموافقات حسب التصميم. ولحظر exec على المضيف حظرًا صارمًا، اضبط أمان الموافقات على deny أو امنع أداة exec عبر سياسة الأدوات.

• أداة Exec
• الوضع المرتفع
• Skills

​

ذو صلة

• Exec — أداة تنفيذ أوامر shell
• العزل — أوضاع العزل والوصول إلى مساحة العمل
• الأمان — نموذج الأمان والتقوية
• العزل مقابل سياسة الأدوات مقابل الوضع المرتفع — متى تستخدم كلًا منها