Documentation Index
Fetch the complete documentation index at: https://docs.openclaw.ai/llms.txt
Use this file to discover all available pages before exploring further.
openclaw secrets
Usa openclaw secrets per gestire SecretRef e mantenere sano lo snapshot runtime attivo.
Ruoli dei comandi:
reload: RPC gateway (secrets.reload) che ririsolve i ref e sostituisce lo snapshot runtime solo in caso di successo completo (nessuna scrittura di configurazione).audit: scansione in sola lettura di archivi di configurazione/autenticazione/modelli generati e residui legacy per testo in chiaro, ref non risolti e deriva di precedenza (i ref exec vengono saltati a meno che non sia impostato--allow-exec).configure: planner interattivo per configurazione provider, mappatura dei target e preflight (richiede TTY).apply: esegue un piano salvato (--dry-runsolo per validazione; il dry-run salta per impostazione predefinita i controlli exec, e la modalità scrittura rifiuta i piani che contengono exec a meno che non sia impostato--allow-exec), quindi pulisce i residui in chiaro mirati.
exec, passa --allow-exec sia sui comandi apply dry-run sia su quelli in scrittura.
Nota sul codice di uscita per CI/controlli:
audit --checkrestituisce1in presenza di risultati.- i ref non risolti restituiscono
2.
- Guida ai segreti: Gestione dei segreti
- Superficie delle credenziali: Superficie delle credenziali SecretRef
- Guida alla sicurezza: Sicurezza
Ricaricare lo snapshot runtime
Ririsolve i ref segreti e sostituisce atomicamente lo snapshot runtime.- Usa il metodo RPC del gateway
secrets.reload. - Se la risoluzione fallisce, il gateway mantiene l’ultimo snapshot noto funzionante e restituisce un errore (nessuna attivazione parziale).
- La risposta JSON include
warningCount.
--url <url>--token <token>--timeout <ms>--json
Audit
Scansiona lo stato di OpenClaw per:- archiviazione di segreti in chiaro
- ref non risolti
- deriva di precedenza (credenziali in
auth-profiles.jsonche oscurano i ref inopenclaw.json) - residui generati in
agents/*/agent/models.json(valori providerapiKeye header provider sensibili) - residui legacy (voci legacy dell’archivio auth, promemoria OAuth)
- Il rilevamento di header provider sensibili è basato su euristiche del nome (nomi e frammenti comuni per header di autenticazione/credenziali come
authorization,x-api-key,token,secret,passwordecredential).
--checkesce con valore non zero in presenza di risultati.- i ref non risolti escono con un codice non zero a priorità più alta.
status:clean | findings | unresolvedresolution:refsChecked,skippedExecRefs,resolvabilityCompletesummary:plaintextCount,unresolvedRefCount,shadowedRefCount,legacyResidueCount- codici dei risultati:
PLAINTEXT_FOUNDREF_UNRESOLVEDREF_SHADOWEDLEGACY_RESIDUE
Configure (helper interattivo)
Costruisci in modo interattivo modifiche a provider e SecretRef, esegui il preflight e facoltativamente applicale:- Prima configurazione del provider (
add/edit/removeper gli aliassecrets.providers). - Seconda mappatura delle credenziali (seleziona i campi e assegna ref
{source, provider, id}). - Preflight e apply facoltativo alla fine.
--providers-only: configura solosecrets.providers, salta la mappatura delle credenziali.--skip-provider-setup: salta la configurazione del provider e mappa le credenziali ai provider esistenti.--agent <id>: limita discovery dei target e scritture diauth-profiles.jsona un archivio agente.--allow-exec: consente i controlli exec SecretRef durante preflight/apply (può eseguire comandi provider).
- Richiede una TTY interattiva.
- Non puoi combinare
--providers-onlycon--skip-provider-setup. configureprende di mira i campi che contengono segreti inopenclaw.jsonpiùauth-profiles.jsonper l’ambito agente selezionato.configuresupporta la creazione diretta di nuove mappatureauth-profiles.jsonnel flusso del selettore.- Superficie canonica supportata: Superficie delle credenziali SecretRef.
- Esegue la risoluzione di preflight prima dell’apply.
- Se il preflight/apply include ref exec, mantieni
--allow-execimpostato in entrambi i passaggi. - I piani generati usano per impostazione predefinita opzioni di scrub (
scrubEnv,scrubAuthProfilesForProviderTargets,scrubLegacyAuthJsontutte abilitate). - Il percorso apply è unidirezionale per i valori in chiaro sottoposti a scrub.
- Senza
--apply, la CLI chiede comunqueApply this plan now?dopo il preflight. - Con
--apply(e senza--yes), la CLI chiede un’ulteriore conferma irreversibile. --jsonstampa il piano + report di preflight, ma il comando richiede comunque una TTY interattiva.
- Le installazioni Homebrew espongono spesso binari collegati tramite symlink sotto
/opt/homebrew/bin/*. - Imposta
allowSymlinkCommand: truesolo quando necessario per percorsi affidabili del package manager e abbinalo atrustedDirs(ad esempio["/opt/homebrew"]). - Su Windows, se la verifica ACL non è disponibile per un percorso provider, OpenClaw fallisce in modalità fail-closed. Solo per percorsi affidabili, imposta
allowInsecurePath: truesu quel provider per bypassare i controlli di sicurezza del percorso.
Applicare un piano salvato
Applica o esegui il preflight di un piano generato in precedenza:--dry-runvalida il preflight senza scrivere file.- i controlli exec SecretRef vengono saltati per impostazione predefinita nel dry-run.
- la modalità scrittura rifiuta i piani che contengono provider/SecretRef exec a meno che non sia impostato
--allow-exec. - Usa
--allow-execper abilitare esplicitamente controlli/esecuzione dei provider exec in entrambe le modalità.
apply:
openclaw.json(target SecretRef + upsert/delete dei provider)auth-profiles.json(scrub dei target provider)- residui legacy in
auth.json - chiavi segrete note in
~/.openclaw/.envi cui valori sono stati migrati
Perché non ci sono backup di rollback
secrets apply intenzionalmente non scrive backup di rollback che contengano vecchi valori in chiaro.
La sicurezza deriva da preflight rigoroso + apply quasi atomico con ripristino in memoria best-effort in caso di errore.
Esempio
audit --check continua a riportare risultati di testo in chiaro, aggiorna i restanti percorsi target segnalati ed esegui di nuovo l’audit.