​

Zatwierdzenia exec

​

Gdzie to ma zastosowanie

• host gateway → proces openclaw na maszynie gateway
• host węzła → runner węzła (aplikacja towarzysząca macOS lub bezgłowy host węzła)

• Wywołujący uwierzytelnieni przez Gateway są zaufanymi operatorami tego Gateway.
• Sparowane węzły rozszerzają tę możliwość zaufanego operatora na host węzła.
• Zatwierdzenia exec zmniejszają ryzyko przypadkowego wykonania, ale nie są granicą uwierzytelniania per użytkownik.
• Zatwierdzone uruchomienia na hoście węzła wiążą kanoniczny kontekst wykonania: kanoniczne cwd, dokładne argv, powiązanie env jeśli występuje, oraz przypiętą ścieżkę do pliku wykonywalnego, gdy ma to zastosowanie.
• Dla skryptów powłoki i bezpośrednich wywołań plików interpretera/runtime OpenClaw próbuje również powiązać jeden konkretny lokalny operand plikowy. Jeśli ten powiązany plik zmieni się po zatwierdzeniu, ale przed wykonaniem, uruchomienie zostanie odrzucone zamiast wykonać zmienioną treść.
• To powiązanie pliku jest celowo rozwiązaniem best-effort, a nie pełnym modelem semantycznym każdej ścieżki ładowania interpretera/runtime. Jeśli tryb zatwierdzania nie może zidentyfikować dokładnie jednego konkretnego lokalnego pliku do powiązania, odmawia utworzenia uruchomienia opartego na zatwierdzeniu zamiast udawać pełne pokrycie.

• usługa hosta węzła przekazuje system.run do aplikacji macOS przez lokalne IPC.
• aplikacja macOS egzekwuje zatwierdzenia + wykonuje polecenie w kontekście UI.

​

Ustawienia i przechowywanie

{
  "version": 1,
  "socket": {
    "path": "~/.openclaw/exec-approvals.sock",
    "token": "base64url-token"
  },
  "defaults": {
    "security": "deny",
    "ask": "on-miss",
    "askFallback": "deny",
    "autoAllowSkills": false
  },
  "agents": {
    "main": {
      "security": "allowlist",
      "ask": "on-miss",
      "askFallback": "deny",
      "autoAllowSkills": true,
      "allowlist": [
        {
          "id": "B0C8C0B3-2C2D-4F8A-9A3C-5A4B3C2D1E0F",
          "pattern": "~/Projects/**/bin/rg",
          "lastUsedAt": 1737150000000,
          "lastUsedCommand": "rg -n TODO",
          "lastResolvedPath": "/Users/user/Projects/.../bin/rg"
        }
      ]
    }
  }
}

​

Tryb „YOLO” bez zatwierdzeń

• żądaną politykę exec w konfiguracji OpenClaw (tools.exec.*)
• lokalną dla hosta politykę zatwierdzeń w ~/.openclaw/exec-approvals.json

• tools.exec.security: full na gateway/node
• tools.exec.ask: off
• host askFallback: full

• tools.exec.host=auto wybiera miejsce wykonania exec: sandbox, gdy jest dostępny, w przeciwnym razie gateway.
• YOLO wybiera sposób zatwierdzania host exec: security=full plus ask=off.
• auto nie sprawia, że routing do gateway staje się darmowym obejściem z sesji sandboxowanej. Żądanie per wywołanie host=node jest dozwolone z auto, a host=gateway jest dozwolone z auto tylko wtedy, gdy nie ma aktywnego runtime sandboxa. Jeśli chcesz stabilną wartość domyślną inną niż auto, ustaw tools.exec.host lub użyj jawnie /exec host=....

openclaw config set tools.exec.host gateway
openclaw config set tools.exec.security full
openclaw config set tools.exec.ask off
openclaw gateway restart

openclaw approvals set --stdin <<'EOF'
{
  version: 1,
  defaults: {
    security: "full",
    ask: "off",
    askFallback: "full"
  }
}
EOF

openclaw approvals set --node <id|name|ip> --stdin <<'EOF'
{
  version: 1,
  defaults: {
    security: "full",
    ask: "off",
    askFallback: "full"
  }
}
EOF

• /exec security=full ask=off zmienia tylko bieżącą sesję.
• /elevated full to skrót awaryjny break-glass, który również pomija zatwierdzenia exec dla tej sesji.

​

Ustawienia polityki

​

Security (exec.security)

• deny: blokuj wszystkie żądania host exec.
• allowlist: zezwalaj tylko na polecenia z allowlisty.
• full: zezwalaj na wszystko (odpowiednik elevated).

​

Ask (exec.ask)

• off: nigdy nie pokazuj promptu.
• on-miss: pokazuj prompt tylko wtedy, gdy allowlista nie pasuje.
• always: pokazuj prompt dla każdego polecenia.
• trwałe zaufanie allow-always nie wyłącza promptów, gdy skuteczny tryb ask to always

​

Ask fallback (askFallback)

• deny: blokuj.
• allowlist: zezwalaj tylko wtedy, gdy allowlista pasuje.
• full: zezwalaj.

​

Utwardzenie inline eval interpretera (tools.exec.strictInlineEval)

• python -c
• node -e, node --eval, node -p
• ruby -e
• perl -e, perl -E
• php -r
• lua -e
• osascript -e

• te polecenia nadal wymagają jawnego zatwierdzenia;
• allow-always nie zapisuje automatycznie nowych wpisów allowlisty dla nich.

​

Allowlista (per agent)

• ~/Projects/**/bin/peekaboo
• ~/.local/bin/*
• /opt/homebrew/bin/rg

• id stabilny UUID używany do identyfikacji w UI (opcjonalnie)
• last used znacznik czasu
• last used command
• last resolved path

​

Auto-allow dla CLI należących do Skills

• To niejawna wygodna allowlista, oddzielna od ręcznych wpisów allowlisty ścieżek.
• Jest przeznaczona dla środowisk zaufanych operatorów, w których Gateway i węzeł znajdują się w tej samej granicy zaufania.
• Jeśli potrzebujesz ścisłego jawnego zaufania, pozostaw autoAllowSkills: false i używaj wyłącznie ręcznych wpisów allowlisty ścieżek.

​

Safe bins (tylko stdin)

• grep: --dereference-recursive, --directories, --exclude-from, --file, --recursive, -R, -d, -f, -r
• jq: --argfile, --from-file, --library-path, --rawfile, --slurpfile, -L, -f
• sort: --compress-program, --files0-from, --output, --random-source, --temporary-directory, -T, -o
• wc: --files0-from

​

Safe bins a allowlista

• safeBins pochodzi z konfiguracji (tools.exec.safeBins lub per agent agents.list[].tools.exec.safeBins).
• safeBinTrustedDirs pochodzi z konfiguracji (tools.exec.safeBinTrustedDirs lub per agent agents.list[].tools.exec.safeBinTrustedDirs).
• safeBinProfiles pochodzi z konfiguracji (tools.exec.safeBinProfiles lub per agent agents.list[].tools.exec.safeBinProfiles). Klucze profili per agent nadpisują klucze globalne.
• wpisy allowlisty znajdują się w lokalnym dla hosta ~/.openclaw/exec-approvals.json pod agents.<id>.allowlist (lub przez Control UI / openclaw approvals allowlist ...).
• openclaw security audit ostrzega przez tools.exec.safe_bins_interpreter_unprofiled, gdy binaria interpretera/runtime pojawiają się w safeBins bez jawnych profili.
• openclaw doctor --fix może utworzyć brakujące wpisy safeBinProfiles.<bin> jako {} (po tym przejrzyj je i zaostrz). Binaria interpretera/runtime nie są tworzone automatycznie.

​

Edycja w Control UI

​

Przepływ zatwierdzania

• ścieżka node exec przygotowuje jeden kanoniczny plan z góry
• rekord zatwierdzenia przechowuje ten plan i jego metadane powiązania
• po zatwierdzeniu końcowe przekazane wywołanie system.run ponownie używa zapisanego planu zamiast ufać późniejszym zmianom po stronie wywołującego
• jeśli wywołujący zmieni command, rawCommand, cwd, agentId lub sessionKey po utworzeniu żądania zatwierdzenia, gateway odrzuci przekazane uruchomienie jako niedopasowanie zatwierdzenia

​

Polecenia interpretera/runtime

• Dokładny kontekst argv/cwd/env jest zawsze wiązany.
• Bezpośrednie formy skryptów powłoki i bezpośrednich plików runtime są wiązane best-effort do jednej konkretnej migawki lokalnego pliku.
• Typowe formy wrapperów menedżerów pakietów, które nadal rozwiązują się do jednego bezpośredniego lokalnego pliku (na przykład pnpm exec, pnpm node, npm exec, npx), są rozwijane przed powiązaniem.
• Jeśli OpenClaw nie może zidentyfikować dokładnie jednego konkretnego lokalnego pliku dla polecenia interpretera/runtime (na przykład skrypty pakietów, formy eval, łańcuchy loaderów specyficzne dla runtime lub niejednoznaczne formy wieloplikowe), wykonanie oparte na zatwierdzeniu jest odrzucane zamiast twierdzić, że obejmuje semantykę, której faktycznie nie obejmuje.
• Dla takich przepływów pracy preferuj sandboxing, osobną granicę hosta albo jawny zaufany przepływ allowlist/full, w którym operator akceptuje szerszą semantykę runtime.

​

Zachowanie dostarczania follow-up

• Jeśli istnieje prawidłowy zewnętrzny cel dostarczenia (kanał możliwy do dostarczenia plus cel to), follow-up jest dostarczany tym kanałem.
• W przepływach tylko-webchat lub sesji wewnętrznych bez zewnętrznego celu dostarczenie follow-up pozostaje tylko sesyjne (deliver: false).
• Jeśli wywołujący jawnie żąda ścisłego zewnętrznego dostarczenia bez możliwego do rozwiązania kanału zewnętrznego, żądanie kończy się błędem INVALID_REQUEST.
• Jeśli włączone jest bestEffortDeliver i nie można rozwiązać żadnego zewnętrznego kanału, dostarczenie jest obniżane do trybu tylko sesyjnego zamiast kończyć się błędem.

• polecenie + argumenty
• cwd
• id agenta
• rozwiązaną ścieżkę pliku wykonywalnego
• host + metadane polityki

• Allow once → uruchom teraz
• Always allow → dodaj do allowlisty + uruchom
• Deny → blokuj

​

Przekazywanie zatwierdzeń do kanałów czatu

​

Przekazywanie zatwierdzeń pluginów

​

Zatwierdzenia w tym samym czacie na dowolnym kanale

​

Natywne dostarczanie zatwierdzeń

• polityka host exec nadal decyduje, czy zatwierdzenie exec jest wymagane
• approvals.exec kontroluje przekazywanie promptów zatwierdzeń do innych miejsc docelowych czatu
• channels.<channel>.execApprovals kontroluje, czy dany kanał działa jako natywny klient zatwierdzeń

• kanał obsługuje natywne dostarczanie zatwierdzeń
• zatwierdzających można rozwiązać z jawnego execApprovals.approvers albo z udokumentowanych źródeł fallback danego kanału
• channels.<channel>.execApprovals.enabled jest nieustawione lub ma wartość "auto"

• Discord: channels.discord.execApprovals.*
• Slack: channels.slack.execApprovals.*
• Telegram: channels.telegram.execApprovals.*

• Slack, Matrix, Microsoft Teams i podobne czaty, do których można dostarczać wiadomości, używają zwykłego modelu uwierzytelniania kanału dla /approve w tym samym czacie
• gdy natywny klient zatwierdzeń włącza się automatycznie, domyślnym natywnym celem dostarczania są DM do zatwierdzających
• dla Discord i Telegram tylko rozwiązani zatwierdzający mogą zatwierdzać lub odrzucać
• zatwierdzający Discord mogą być jawni (execApprovals.approvers) albo wywnioskowani z commands.ownerAllowFrom
• zatwierdzający Telegram mogą być jawni (execApprovals.approvers) albo wywnioskowani z istniejącej konfiguracji właściciela (allowFrom, plus direct-message defaultTo, gdy jest obsługiwane)
• zatwierdzający Slack mogą być jawni (execApprovals.approvers) albo wywnioskowani z commands.ownerAllowFrom
• natywne przyciski Slack zachowują rodzaj identyfikatora zatwierdzenia, więc identyfikatory plugin: mogą rozwiązywać zatwierdzenia pluginów bez drugiej warstwy fallback lokalnej dla Slack
• natywny routing DM/kanał w Matrix jest tylko dla exec; zatwierdzenia pluginów Matrix pozostają przy współdzielonym /approve w tym samym czacie i opcjonalnych ścieżkach przekazywania approvals.plugin
• zgłaszający nie musi być zatwierdzającym
• źródłowy czat może zatwierdzić bezpośrednio przez /approve, gdy ten czat już obsługuje polecenia i odpowiedzi
• natywne przyciski zatwierdzeń Discord kierują według rodzaju identyfikatora zatwierdzenia: identyfikatory plugin: trafiają bezpośrednio do zatwierdzeń pluginów, wszystko inne trafia do zatwierdzeń exec
• natywne przyciski zatwierdzeń Telegram stosują ten sam ograniczony fallback z exec do pluginu co /approve
• gdy natywne target włącza dostarczanie do czatu źródłowego, prompty zatwierdzeń zawierają tekst polecenia
• oczekujące zatwierdzenia exec wygasają domyślnie po 30 minutach
• jeśli żaden interfejs operatora ani skonfigurowany klient zatwierdzeń nie może przyjąć żądania, prompt wraca do askFallback

• Discord
• Telegram

​

Przepływ IPC w macOS

• Tryb gniazda Unix 0600, token przechowywany w exec-approvals.json.
• Sprawdzenie peera z tym samym UID.
• Challenge/response (nonce + token HMAC + hash żądania) + krótki TTL.

​

Zdarzenia systemowe

• Exec running (tylko jeśli polecenie przekroczy próg powiadomienia o uruchomieniu)
• Exec finished
• Exec denied

​

Zachowanie przy odrzuconym zatwierdzeniu

​

Skutki

• full jest potężne; tam, gdzie to możliwe, preferuj allowlisty.
• ask pozwala Ci zachować kontrolę przy jednoczesnym szybkim zatwierdzaniu.
• Allowlisty per agent zapobiegają przenikaniu zatwierdzeń jednego agenta do innych.
• Zatwierdzenia dotyczą tylko żądań host exec od autoryzowanych nadawców. Nieautoryzowani nadawcy nie mogą wywoływać /exec.
• /exec security=full jest wygodnym ustawieniem na poziomie sesji dla autoryzowanych operatorów i z założenia pomija zatwierdzenia. Aby twardo zablokować host exec, ustaw security zatwierdzeń na deny albo zablokuj narzędzie exec przez politykę narzędzi.

• Narzędzie exec
• Tryb elevated
• Skills

​

Powiązane

• Exec — narzędzie do wykonywania poleceń powłoki
• Sandboxing — tryby sandboxa i dostęp do workspace
• Security — model bezpieczeństwa i hardening
• Sandbox vs Tool Policy vs Elevated — kiedy używać którego