実行承認

Documentation Index

Fetch the complete documentation index at: https://docs.openclaw.ai/llms.txt

Use this file to discover all available pages before exploring further.

​

有効なポリシーの確認

​

適用される場所

• Gateway ホスト → Gateway マシン上の openclaw プロセス。
• ノードホスト → ノードランナー（macOS コンパニオンアプリまたはヘッドレスノードホスト）。

​

信頼モデル

• Gateway 認証済みの呼び出し元は、その Gateway の信頼されたオペレーターです。
• ペアリング済みノードは、その信頼されたオペレーター能力をノードホストへ拡張します。
• Exec 承認は誤実行のリスクを低減しますが、ユーザーごとの認証境界やファイルシステムの読み取り専用ポリシーではありません。
• 承認されると、コマンドは選択されたホストまたはサンドボックスのファイルシステム権限に従ってファイルを変更できます。
• 承認済みのノードホスト実行は、正準の実行コンテキストをバインドします。正準 cwd、正確な argv、存在する場合の env バインド、該当する場合の固定された実行可能ファイルパスです。
• シェルスクリプトと、インタープリターまたはランタイムファイルの直接呼び出しについて、OpenClaw は 1 つの具体的なローカルファイルオペランドのバインドも試みます。そのバインドされたファイルが承認後から実行前までに変更された場合、ずれた内容を実行するのではなく、その実行は拒否されます。
• ファイルバインドは意図的にベストエフォートであり、すべてのインタープリターまたはランタイムローダーパスの完全な意味モデルでは ありません。承認モードがバインド対象として 1 つの具体的なローカルファイルを正確に識別できない場合、完全にカバーできるふりをするのではなく、承認に基づく実行の発行を拒否します。

​

macOS の分離

• ノードホストサービス は system.run をローカル IPC 経由で macOS アプリ に転送します。
• macOS アプリ は承認を強制し、UI コンテキストでコマンドを実行します。

​

設定と保存場所

~/.openclaw/exec-approvals.json

{
  "version": 1,
  "socket": {
    "path": "~/.openclaw/exec-approvals.sock",
    "token": "base64url-token"
  },
  "defaults": {
    "security": "deny",
    "ask": "on-miss",
    "askFallback": "deny",
    "autoAllowSkills": false
  },
  "agents": {
    "main": {
      "security": "allowlist",
      "ask": "on-miss",
      "askFallback": "deny",
      "autoAllowSkills": true,
      "allowlist": [
        {
          "id": "B0C8C0B3-2C2D-4F8A-9A3C-5A4B3C2D1E0F",
          "pattern": "~/Projects/**/bin/rg",
          "source": "allow-always",
          "commandText": "rg -n TODO",
          "lastUsedAt": 1737150000000,
          "lastUsedCommand": "rg -n TODO",
          "lastResolvedPath": "/Users/user/Projects/.../bin/rg"
        }
      ]
    }
  }
}

​

ポリシーの調整項目

​

exec.security

​

exec.ask

​

askFallback

​

tools.exec.strictInlineEval

• python -c
• node -e, node --eval, node -p
• ruby -e
• perl -e, perl -E
• php -r
• lua -e
• osascript -e

​

tools.exec.commandHighlighting

​

YOLO モード（承認なし）

​

永続的な Gateway ホストの「プロンプトなし」設定

openclaw config set tools.exec.host gateway
openclaw config set tools.exec.security full
openclaw config set tools.exec.ask off
openclaw gateway restart

openclaw approvals set --stdin <<'EOF'
{
  version: 1,
  defaults: {
    security: "full",
    ask: "off",
    askFallback: "full"
  }
}
EOF

​

ローカルショートカット

openclaw exec-policy preset yolo

• ローカルの tools.exec.host/security/ask。
• ローカルの ~/.openclaw/exec-approvals.json デフォルト。

​

ノードホスト

openclaw approvals set --node <id|name|ip> --stdin <<'EOF'
{
  version: 1,
  defaults: {
    security: "full",
    ask: "off",
    askFallback: "full"
  }
}
EOF

​

セッション専用ショートカット

• /exec security=full ask=off は現在のセッションのみを変更します。
• /elevated full は、そのセッションで exec 承認もスキップする緊急用ショートカットです。

​

Allowlist（エージェントごと）

• rg
• ~/Projects/**/bin/peekaboo
• ~/.local/bin/*
• /opt/homebrew/bin/rg

​

argPattern による引数の制限

{
  "version": 1,
  "agents": {
    "main": {
      "allowlist": [
        {
          "pattern": "python3",
          "argPattern": "^safe\\.py$"
        }
      ]
    }
  }
}

​

Skills CLI の自動許可

​

安全な bin と承認の転送

​

Control UI での編集

​

承認フロー

• Node exec パスは、最初に 1 つの正規プランを準備します。
• 承認レコードは、そのプランとバインディングメタデータを保存します。
• 承認されると、最終的に転送される system.run 呼び出しは、後続の呼び出し元による編集を信頼するのではなく、保存済みプランを再利用します。
• 承認リクエストの作成後に呼び出し元が command、rawCommand、cwd、agentId、または sessionKey を変更した場合、gateway は転送される実行を承認不一致として拒否します。

​

システムイベント

• Exec running（コマンドが実行中通知のしきい値を超えた場合のみ）。
• Exec finished。
• Exec denied。

​

拒否された承認の動作

​

影響

• full は強力です。可能な場合は allowlist を推奨します。
• ask は、素早い承認を可能にしつつ、ユーザーが関与し続けられるようにします。
• エージェントごとの allowlist は、あるエージェントの承認が他のエージェントへ漏れることを防ぎます。
• 承認は、承認済み送信者からのホスト exec リクエストにのみ適用されます。未承認の送信者は /exec を発行できません。
• /exec security=full は、承認済みオペレーター向けのセッションレベルの利便機能であり、設計上、承認をスキップします。ホスト exec を強制的にブロックするには、承認セキュリティを deny に設定するか、ツールポリシーで exec ツールを拒否してください。

​

関連