​

Persetujuan exec

​

Tempat ini berlaku

• host gateway → proses openclaw di mesin gateway
• host node → node runner (aplikasi pendamping macOS atau host node headless)

• Pemanggil yang diautentikasi gateway adalah operator tepercaya untuk Gateway tersebut.
• Node yang dipasangkan memperluas kapabilitas operator tepercaya itu ke host node.
• Persetujuan exec mengurangi risiko eksekusi yang tidak disengaja, tetapi bukan batas auth per pengguna.
• Run host-node yang disetujui mengikat konteks eksekusi kanonis: cwd kanonis, argv yang tepat, pengikatan env jika ada, dan jalur executable yang dipin bila berlaku.
• Untuk shell script dan pemanggilan file interpreter/runtime langsung, OpenClaw juga mencoba mengikat satu operand file lokal konkret. Jika file yang terikat itu berubah setelah persetujuan tetapi sebelum eksekusi, run ditolak alih-alih mengeksekusi konten yang telah berubah.
• Pengikatan file ini sengaja best-effort, bukan model semantik lengkap untuk setiap jalur loader interpreter/runtime. Jika mode persetujuan tidak dapat mengidentifikasi tepat satu file lokal konkret untuk diikat, mode ini menolak membuat run berbasis persetujuan alih-alih berpura-pura memiliki cakupan penuh.

• layanan host node meneruskan system.run ke aplikasi macOS melalui IPC lokal.
• aplikasi macOS menegakkan persetujuan + mengeksekusi perintah dalam konteks UI.

​

Pengaturan dan penyimpanan

{
  "version": 1,
  "socket": {
    "path": "~/.openclaw/exec-approvals.sock",
    "token": "base64url-token"
  },
  "defaults": {
    "security": "deny",
    "ask": "on-miss",
    "askFallback": "deny",
    "autoAllowSkills": false
  },
  "agents": {
    "main": {
      "security": "allowlist",
      "ask": "on-miss",
      "askFallback": "deny",
      "autoAllowSkills": true,
      "allowlist": [
        {
          "id": "B0C8C0B3-2C2D-4F8A-9A3C-5A4B3C2D1E0F",
          "pattern": "~/Projects/**/bin/rg",
          "lastUsedAt": 1737150000000,
          "lastUsedCommand": "rg -n TODO",
          "lastResolvedPath": "/Users/user/Projects/.../bin/rg"
        }
      ]
    }
  }
}

​

Mode “YOLO” tanpa persetujuan

• kebijakan exec yang diminta di konfigurasi OpenClaw (tools.exec.*)
• kebijakan persetujuan lokal host di ~/.openclaw/exec-approvals.json

• tools.exec.security: full pada gateway/node
• tools.exec.ask: off
• host askFallback: full

• tools.exec.host=auto memilih tempat exec berjalan: sandbox jika tersedia, jika tidak gateway.
• YOLO memilih bagaimana host exec disetujui: security=full plus ask=off.
• auto tidak membuat routing gateway menjadi override bebas dari sesi yang tersandbox. Permintaan per-panggilan host=node diizinkan dari auto, dan host=gateway hanya diizinkan dari auto ketika tidak ada runtime sandbox yang aktif. Jika Anda ingin default non-auto yang stabil, setel tools.exec.host atau gunakan /exec host=... secara eksplisit.

openclaw config set tools.exec.host gateway
openclaw config set tools.exec.security full
openclaw config set tools.exec.ask off
openclaw gateway restart

openclaw approvals set --stdin <<'EOF'
{
  version: 1,
  defaults: {
    security: "full",
    ask: "off",
    askFallback: "full"
  }
}
EOF

openclaw approvals set --node <id|name|ip> --stdin <<'EOF'
{
  version: 1,
  defaults: {
    security: "full",
    ask: "off",
    askFallback: "full"
  }
}
EOF

• /exec security=full ask=off hanya mengubah sesi saat ini.
• /elevated full adalah shortcut break-glass yang juga melewati persetujuan exec untuk sesi tersebut.

​

Tombol kebijakan

​

Security (exec.security)

• deny: blokir semua permintaan host exec.
• allowlist: izinkan hanya perintah yang ada di allowlist.
• full: izinkan semuanya (setara dengan elevated).

​

Ask (exec.ask)

• off: jangan pernah prompt.
• on-miss: prompt hanya ketika allowlist tidak cocok.
• always: prompt untuk setiap perintah.
• allow-always durable trust tidak menekan prompt ketika mode ask efektif adalah always

​

Ask fallback (askFallback)

• deny: blokir.
• allowlist: izinkan hanya jika allowlist cocok.
• full: izinkan.

​

Hardening inline interpreter eval (tools.exec.strictInlineEval)

• python -c
• node -e, node --eval, node -p
• ruby -e
• perl -e, perl -E
• php -r
• lua -e
• osascript -e

• perintah-perintah ini tetap memerlukan persetujuan eksplisit;
• allow-always tidak secara otomatis menyimpan entri allowlist baru untuk perintah-perintah tersebut.

​

Allowlist (per agen)

• ~/Projects/**/bin/peekaboo
• ~/.local/bin/*
• /opt/homebrew/bin/rg

• id UUID stabil yang digunakan untuk identitas UI (opsional)
• terakhir digunakan timestamp
• perintah terakhir digunakan
• jalur terakhir yang di-resolve

​

Auto-allow CLI skill

• Ini adalah allowlist kemudahan implisit, terpisah dari entri allowlist jalur manual.
• Ini ditujukan untuk environment operator tepercaya tempat Gateway dan node berada dalam batas kepercayaan yang sama.
• Jika Anda memerlukan kepercayaan eksplisit yang ketat, pertahankan autoAllowSkills: false dan gunakan hanya entri allowlist jalur manual.

​

Safe bins (hanya stdin)

• grep: --dereference-recursive, --directories, --exclude-from, --file, --recursive, -R, -d, -f, -r
• jq: --argfile, --from-file, --library-path, --rawfile, --slurpfile, -L, -f
• sort: --compress-program, --files0-from, --output, --random-source, --temporary-directory, -T, -o
• wc: --files0-from

​

Safe bins versus allowlist

• safeBins berasal dari config (tools.exec.safeBins atau per-agen agents.list[].tools.exec.safeBins).
• safeBinTrustedDirs berasal dari config (tools.exec.safeBinTrustedDirs atau per-agen agents.list[].tools.exec.safeBinTrustedDirs).
• safeBinProfiles berasal dari config (tools.exec.safeBinProfiles atau per-agen agents.list[].tools.exec.safeBinProfiles). Key profil per-agen menimpa key global.
• entri allowlist berada di ~/.openclaw/exec-approvals.json lokal host di bawah agents.<id>.allowlist (atau melalui Control UI / openclaw approvals allowlist ...).
• openclaw security audit memperingatkan dengan tools.exec.safe_bins_interpreter_unprofiled ketika bin interpreter/runtime muncul di safeBins tanpa profil eksplisit.
• openclaw doctor --fix dapat membuat scaffold entri safeBinProfiles.<bin> kustom yang hilang sebagai {} (tinjau dan perketat setelahnya). Bin interpreter/runtime tidak dibuatkan scaffold otomatis.

​

Pengeditan Control UI

​

Alur persetujuan

• jalur node exec menyiapkan satu rencana kanonis di awal
• catatan persetujuan menyimpan rencana itu dan metadata pengikatannya
• setelah disetujui, panggilan system.run final yang diteruskan menggunakan kembali rencana yang disimpan alih-alih mempercayai edit pemanggil di kemudian hari
• jika pemanggil mengubah command, rawCommand, cwd, agentId, atau sessionKey setelah permintaan persetujuan dibuat, gateway menolak run yang diteruskan sebagai ketidakcocokan persetujuan

​

Perintah interpreter/runtime

• Konteks argv/cwd/env yang tepat selalu diikat.
• Bentuk shell script langsung dan file runtime langsung diikat secara best-effort ke satu snapshot file lokal konkret.
• Bentuk wrapper package-manager umum yang tetap di-resolve ke satu file lokal langsung (misalnya pnpm exec, pnpm node, npm exec, npx) di-unwrapped sebelum pengikatan.
• Jika OpenClaw tidak dapat mengidentifikasi tepat satu file lokal konkret untuk perintah interpreter/runtime (misalnya package script, bentuk eval, rantai loader khusus runtime, atau bentuk multi-file yang ambigu), eksekusi berbasis persetujuan ditolak alih-alih mengklaim cakupan semantik yang tidak dimilikinya.
• Untuk alur kerja tersebut, lebih baik gunakan sandboxing, batas host terpisah, atau alur allowlist/full tepercaya yang eksplisit saat operator menerima semantik runtime yang lebih luas.

​

Perilaku pengiriman lanjutan

• Jika target pengiriman eksternal yang valid ada (channel yang dapat dikirim plus target to), pengiriman lanjutan menggunakan channel itu.
• Dalam alur hanya-webchat atau sesi internal tanpa target eksternal, pengiriman lanjutan tetap hanya-sesi (deliver: false).
• Jika pemanggil secara eksplisit meminta pengiriman eksternal ketat tanpa channel eksternal yang dapat di-resolve, permintaan gagal dengan INVALID_REQUEST.
• Jika bestEffortDeliver diaktifkan dan tidak ada channel eksternal yang dapat di-resolve, pengiriman diturunkan menjadi hanya-sesi alih-alih gagal.

• perintah + argumen
• cwd
• id agen
• jalur executable yang di-resolve
• metadata host + kebijakan

• Allow once → jalankan sekarang
• Always allow → tambahkan ke allowlist + jalankan
• Deny → blokir

​

Penerusan persetujuan ke channel chat

​

Penerusan persetujuan plugin

​

Persetujuan di chat yang sama pada channel apa pun

​

Pengiriman persetujuan native

• kebijakan host exec tetap menentukan apakah persetujuan exec diperlukan
• approvals.exec mengontrol penerusan prompt persetujuan ke tujuan chat lain
• channels.<channel>.execApprovals mengontrol apakah channel itu bertindak sebagai klien persetujuan native

• channel mendukung pengiriman persetujuan native
• approver dapat di-resolve dari execApprovals.approvers eksplisit atau sumber fallback terdokumentasi channel tersebut
• channels.<channel>.execApprovals.enabled tidak disetel atau "auto"

• Discord: channels.discord.execApprovals.*
• Slack: channels.slack.execApprovals.*
• Telegram: channels.telegram.execApprovals.*

• Slack, Matrix, Microsoft Teams, dan chat lain yang dapat dikirim menggunakan model auth channel normal untuk /approve di chat yang sama
• ketika klien persetujuan native aktif otomatis, target pengiriman native default adalah DM approver
• untuk Discord dan Telegram, hanya approver yang telah di-resolve yang dapat menyetujui atau menolak
• approver Discord dapat eksplisit (execApprovals.approvers) atau diinferensikan dari commands.ownerAllowFrom
• approver Telegram dapat eksplisit (execApprovals.approvers) atau diinferensikan dari konfigurasi owner yang ada (allowFrom, ditambah defaultTo direct-message jika didukung)
• approver Slack dapat eksplisit (execApprovals.approvers) atau diinferensikan dari commands.ownerAllowFrom
• tombol native Slack mempertahankan jenis approval id, sehingga id plugin: dapat di-resolve ke persetujuan plugin tanpa lapisan fallback lokal Slack kedua
• routing DM/channel native Matrix hanya untuk exec; persetujuan plugin Matrix tetap berada pada jalur /approve di chat yang sama dan jalur penerusan approvals.plugin opsional
• peminta tidak harus menjadi approver
• chat asal dapat menyetujui langsung dengan /approve ketika chat tersebut sudah mendukung perintah dan balasan
• tombol persetujuan native Discord merutekan berdasarkan jenis approval id: id plugin: langsung menuju persetujuan plugin, semua yang lain menuju persetujuan exec
• tombol persetujuan native Telegram mengikuti fallback exec-ke-plugin terbatas yang sama seperti /approve
• ketika target native mengaktifkan pengiriman origin-chat, prompt persetujuan menyertakan teks perintah
• persetujuan exec yang tertunda kedaluwarsa setelah 30 menit secara default
• jika tidak ada UI operator atau klien persetujuan yang dikonfigurasi yang dapat menerima permintaan, prompt akan fallback ke askFallback

• Discord
• Telegram

​

Alur IPC macOS

• Mode Unix socket 0600, token disimpan di exec-approvals.json.
• Pemeriksaan peer same-UID.
• Challenge/response (nonce + token HMAC + hash permintaan) + TTL singkat.

​

Event sistem

• Exec running (hanya jika perintah melebihi ambang pemberitahuan sedang berjalan)
• Exec finished
• Exec denied

​

Perilaku saat persetujuan ditolak

​

Implikasi

• full sangat kuat; lebih baik gunakan allowlist jika memungkinkan.
• ask membuat Anda tetap terlibat sambil tetap memungkinkan persetujuan cepat.
• Allowlist per agen mencegah persetujuan satu agen bocor ke agen lain.
• Persetujuan hanya berlaku untuk permintaan host exec dari pengirim yang berwenang. Pengirim yang tidak berwenang tidak dapat mengeluarkan /exec.
• /exec security=full adalah kemudahan tingkat sesi untuk operator berwenang dan secara desain melewati persetujuan. Untuk memblokir keras host exec, setel security persetujuan ke deny atau tolak tool exec melalui kebijakan tool.

• Tool Exec
• Mode elevated
• Skills

​

Terkait

• Exec — tool eksekusi perintah shell
• Sandboxing — mode sandbox dan akses workspace
• Security — model keamanan dan hardening
• Sandbox vs Tool Policy vs Elevated — kapan menggunakan masing-masing