​

Exec onayları

​

Nerede uygulanır

• gateway host → gateway makinesindeki openclaw süreci
• node host → düğüm çalıştırıcısı (macOS yardımcı uygulaması veya başsız düğüm ana makinesi)

• Gateway kimliği doğrulanmış çağıranlar, o Gateway için güvenilir operatörlerdir.
• Eşlenmiş düğümler, bu güvenilir operatör yeteneğini düğüm ana makinesine genişletir.
• Exec onayları kazara yürütme riskini azaltır, ancak kullanıcı başına bir kimlik doğrulama sınırı değildir.
• Onaylı düğüm-ana makinesi çalıştırmaları kanonik yürütme bağlamını bağlar: kanonik cwd, tam argv, mevcutsa env bağlama ve uygunsa sabitlenmiş yürütülebilir yol.
• Shell betikleri ve doğrudan yorumlayıcı/runtime dosya çağrıları için OpenClaw ayrıca tek bir somut yerel dosya işlenenini bağlamaya çalışır. Bu bağlı dosya onaydan sonra ama yürütmeden önce değişirse, kaymış içerik yürütülmek yerine çalıştırma reddedilir.
• Bu dosya bağlama, her yorumlayıcı/runtime yükleyici yolunun eksiksiz anlamsal modeli değil, kasıtlı olarak en iyi çabadır. Onay modu bağlanacak tam olarak bir somut yerel dosyayı belirleyemiyorsa, tam kapsam varmış gibi davranmak yerine onay destekli çalıştırma üretmeyi reddeder.

• node host service, system.run çağrılarını yerel IPC üzerinden macOS uygulamasına iletir.
• macOS uygulaması, onayları uygular ve komutu UI bağlamında yürütür.

​

Ayarlar ve depolama

{
  "version": 1,
  "socket": {
    "path": "~/.openclaw/exec-approvals.sock",
    "token": "base64url-token"
  },
  "defaults": {
    "security": "deny",
    "ask": "on-miss",
    "askFallback": "deny",
    "autoAllowSkills": false
  },
  "agents": {
    "main": {
      "security": "allowlist",
      "ask": "on-miss",
      "askFallback": "deny",
      "autoAllowSkills": true,
      "allowlist": [
        {
          "id": "B0C8C0B3-2C2D-4F8A-9A3C-5A4B3C2D1E0F",
          "pattern": "~/Projects/**/bin/rg",
          "lastUsedAt": 1737150000000,
          "lastUsedCommand": "rg -n TODO",
          "lastResolvedPath": "/Users/user/Projects/.../bin/rg"
        }
      ]
    }
  }
}

​

Onaysız “YOLO” modu

• OpenClaw yapılandırmasında istenen exec ilkesi (tools.exec.*)
• ~/.openclaw/exec-approvals.json içindeki ana makineye yerel onay ilkesi

• tools.exec.security: gateway/node üzerinde full
• tools.exec.ask: off
• ana makine askFallback: full

• tools.exec.host=auto, exec işleminin nerede çalışacağını seçer: uygunsa sandbox içinde, aksi takdirde gateway üzerinde.
• YOLO, ana makine exec işleminin nasıl onaylandığını seçer: security=full ve ask=off.
• auto, gateway yönlendirmesini sandbox içindeki bir oturumdan serbest bir geçersiz kılma hâline getirmez. host=node için çağrı başına istek auto durumundan kabul edilir ve host=gateway yalnızca etkin bir sandbox runtime yokken auto durumundan kabul edilir. Kararlı bir auto olmayan varsayılan istiyorsanız tools.exec.host ayarlayın veya /exec host=... değerini açıkça kullanın.

openclaw config set tools.exec.host gateway
openclaw config set tools.exec.security full
openclaw config set tools.exec.ask off
openclaw gateway restart

openclaw approvals set --stdin <<'EOF'
{
  version: 1,
  defaults: {
    security: "full",
    ask: "off",
    askFallback: "full"
  }
}
EOF

openclaw approvals set --node <id|name|ip> --stdin <<'EOF'
{
  version: 1,
  defaults: {
    security: "full",
    ask: "off",
    askFallback: "full"
  }
}
EOF

• /exec security=full ask=off yalnızca geçerli oturumu değiştirir.
• /elevated full, aynı zamanda bu oturum için exec onaylarını da atlayan bir acil durum kısayoludur.

​

İlke ayarları

​

Güvenlik (exec.security)

• deny: tüm ana makine exec isteklerini engelle.
• allowlist: yalnızca allowlist’e alınmış komutlara izin ver.
• full: her şeye izin ver (yükseltilmiş ile eşdeğer).

​

Sorma (exec.ask)

• off: asla sorma.
• on-miss: yalnızca allowlist eşleşmediğinde sor.
• always: her komutta sor.
• Etkin sorma modu always olduğunda allow-always kalıcı güveni istemleri bastırmaz

​

Sorma geri dönüşü (askFallback)

• deny: engelle.
• allowlist: yalnızca allowlist eşleşirse izin ver.
• full: izin ver.

​

Satır içi yorumlayıcı eval sertleştirmesi (tools.exec.strictInlineEval)

• python -c
• node -e, node --eval, node -p
• ruby -e
• perl -e, perl -E
• php -r
• lua -e
• osascript -e

• bu komutlar yine de açık onay gerektirir;
• allow-always, bunlar için yeni allowlist girdilerini otomatik olarak kalıcılaştırmaz.

​

Allowlist (aracı başına)

• ~/Projects/**/bin/peekaboo
• ~/.local/bin/*
• /opt/homebrew/bin/rg

• UI kimliği için kullanılan kararlı UUID id (isteğe bağlı)
• son kullanım zaman damgası
• son kullanılan komut
• son çözümlenen yol

​

Skill CLI’larını otomatik izinli yap

• Bu, manuel yol allowlist girdilerinden ayrı, örtük bir kolaylık allowlist’idir.
• Gateway ile düğümün aynı güven sınırında olduğu güvenilir operatör ortamları için tasarlanmıştır.
• Sıkı açık güven gerektiriyorsanız autoAllowSkills: false olarak bırakın ve yalnızca manuel yol allowlist girdilerini kullanın.

​

Güvenli ikili dosyalar (yalnızca stdin)

• grep: --dereference-recursive, --directories, --exclude-from, --file, --recursive, -R, -d, -f, -r
• jq: --argfile, --from-file, --library-path, --rawfile, --slurpfile, -L, -f
• sort: --compress-program, --files0-from, --output, --random-source, --temporary-directory, -T, -o
• wc: --files0-from

​

Güvenli ikili dosyalar ve allowlist karşılaştırması

• safeBins, yapılandırmadan gelir (tools.exec.safeBins veya aracı başına agents.list[].tools.exec.safeBins).
• safeBinTrustedDirs, yapılandırmadan gelir (tools.exec.safeBinTrustedDirs veya aracı başına agents.list[].tools.exec.safeBinTrustedDirs).
• safeBinProfiles, yapılandırmadan gelir (tools.exec.safeBinProfiles veya aracı başına agents.list[].tools.exec.safeBinProfiles). Aracı başına profil anahtarları genel anahtarları geçersiz kılar.
• allowlist girdileri ana makineye yerel ~/.openclaw/exec-approvals.json içinde agents.<id>.allowlist altında yaşar (veya Control UI / openclaw approvals allowlist ... aracılığıyla).
• openclaw security audit, yorumlayıcı/runtime ikili dosyaları açık profiller olmadan safeBins içinde görünürse tools.exec.safe_bins_interpreter_unprofiled uyarısı verir.
• openclaw doctor --fix, eksik özel safeBinProfiles.<bin> girdilerini {} olarak iskeletleyebilir (sonrasında gözden geçirip sıkılaştırın). Yorumlayıcı/runtime ikili dosyaları otomatik iskeletlenmez.

​

Control UI düzenleme

​

Onay akışı

• node exec yolu başta tek bir kanonik plan hazırlar
• onay kaydı bu planı ve bağlama meta verisini saklar
• onaylandıktan sonra son iletilen system.run çağrısı daha sonraki çağıran düzenlemelerine güvenmek yerine saklanan planı yeniden kullanır
• çağıran onay isteği oluşturulduktan sonra command, rawCommand, cwd, agentId veya sessionKey değerlerini değiştirirse gateway iletilen çalıştırmayı onay uyumsuzluğu olarak reddeder

​

Yorumlayıcı/runtime komutları

• Tam argv/cwd/env bağlamı her zaman bağlanır.
• Doğrudan shell betiği ve doğrudan runtime dosya biçimleri, en iyi çabayla tek bir somut yerel dosya anlık görüntüsüne bağlanır.
• Hâlâ tek bir doğrudan yerel dosyaya çözümlenen yaygın paket yöneticisi sarmalayıcı biçimleri (örneğin pnpm exec, pnpm node, npm exec, npx) bağlamadan önce açılır.
• OpenClaw bir yorumlayıcı/runtime komutu için tam olarak bir somut yerel dosyayı belirleyemezse (örneğin paket betikleri, eval biçimleri, runtime’a özgü yükleyici zincirleri veya belirsiz çok dosyalı biçimler), anlamsal kapsam varmış gibi iddia etmek yerine onay destekli yürütme reddedilir.
• Bu iş akışları için sandboxing, ayrı bir ana makine sınırı veya operatörün daha geniş runtime anlamlarını kabul ettiği açık trusted allowlist/full iş akışını tercih edin.

​

Takip teslim davranışı

• Geçerli bir harici teslim hedefi varsa (teslim edilebilir kanal ve hedef to), takip teslimi bu kanalı kullanır.
• Dış hedefi olmayan yalnızca webchat veya iç oturum akışlarında takip teslimi yalnızca oturumda kalır (deliver: false).
• Bir çağıran çözümlenebilir harici kanal olmadan açıkça sıkı harici teslim isterse istek INVALID_REQUEST ile başarısız olur.
• bestEffortDeliver etkinse ve harici kanal çözümlenemiyorsa teslim başarısız olmak yerine yalnızca oturuma düşürülür.

• komut + argümanlar
• cwd
• aracı kimliği
• çözümlenmiş yürütülebilir yol
• ana makine + ilke meta verisi

• Allow once → şimdi çalıştır
• Always allow → allowlist’e ekle + çalıştır
• Deny → engelle

​

Sohbet kanallarına onay iletme

​

Plugin onayı iletimi

​

Herhangi bir kanalda aynı sohbette onaylar

​

Yerel onay teslimi

• ana makine exec ilkesi hâlâ exec onayı gerekip gerekmediğine karar verir
• approvals.exec, onay istemlerinin diğer sohbet hedeflerine iletilmesini denetler
• channels.<channel>.execApprovals, o kanalın yerel onay istemcisi olarak davranıp davranmayacağını denetler

• kanal yerel onay teslimini destekliyordur
• approver’lar açık execApprovals.approvers veya o kanalın belgelenmiş geri dönüş kaynaklarından çözümlenebiliyordur
• channels.<channel>.execApprovals.enabled ayarsızdır veya "auto" değerindedir

• Discord: channels.discord.execApprovals.*
• Slack: channels.slack.execApprovals.*
• Telegram: channels.telegram.execApprovals.*

• Slack, Matrix, Microsoft Teams ve benzeri teslim edilebilir sohbetler, aynı sohbette /approve için normal kanal auth modelini kullanır
• yerel onay istemcisi otomatik etkinleştiğinde varsayılan yerel teslim hedefi approver DM’leridir
• Discord ve Telegram için yalnızca çözümlenen approver’lar onaylayabilir veya reddedebilir
• Discord approver’ları açık olabilir (execApprovals.approvers) veya commands.ownerAllowFrom üzerinden çıkarılabilir
• Telegram approver’ları açık olabilir (execApprovals.approvers) veya mevcut owner yapılandırmasından çıkarılabilir (allowFrom, artı desteklenen yerlerde doğrudan mesaj defaultTo)
• Slack approver’ları açık olabilir (execApprovals.approvers) veya commands.ownerAllowFrom üzerinden çıkarılabilir
• Slack yerel düğmeleri onay kimliği türünü korur; böylece plugin: kimlikleri ikinci bir Slack yerel geri dönüş katmanı olmadan plugin onaylarını çözebilir
• Matrix yerel DM/kanal yönlendirmesi yalnızca exec içindir; Matrix plugin onayları paylaşılan aynı sohbet /approve ve isteğe bağlı approvals.plugin iletme yollarında kalır
• isteği yapan kişinin approver olması gerekmez
• kaynak sohbet zaten komutları ve yanıtları destekliyorsa /approve ile doğrudan onaylayabilir
• yerel Discord onay düğmeleri onay kimliği türüne göre yönlendirir: plugin: kimlikleri doğrudan plugin onaylarına gider, diğer her şey exec onaylarına gider
• yerel Telegram onay düğmeleri /approve ile aynı sınırlı exec→plugin geri dönüşünü izler
• yerel target, kaynak-sohbet teslimini etkinleştirdiğinde onay istemleri komut metnini içerir
• bekleyen exec onayları varsayılan olarak 30 dakika sonra sona erer
• hiçbir operatör UI’ı veya yapılandırılmış onay istemcisi isteği kabul edemezse istem askFallback değerine geri düşer

• Discord
• Telegram

​

macOS IPC akışı

• Unix soket modu 0600, token exec-approvals.json içinde saklanır.
• Aynı UID eş kontrolü.
• Challenge/response (nonce + HMAC token + istek hash’i) + kısa TTL.

​

Sistem olayları

• Exec running (yalnızca komut çalışma bildirimi eşiğini aşarsa)
• Exec finished
• Exec denied

​

Reddedilen onay davranışı

​

Etkileri

• full güçlüdür; mümkün olduğunda allowlist’leri tercih edin.
• ask, hızlı onaylara izin verirken sizi de döngünün içinde tutar.
• Aracı başına allowlist’ler, bir aracının onaylarının diğerlerine sızmasını önler.
• Onaylar yalnızca yetkili gönderenlerden gelen ana makine exec isteklerine uygulanır. Yetkisiz gönderenler /exec veremez.
• /exec security=full, yetkili operatörler için oturum düzeyinde bir kolaylıktır ve tasarım gereği onayları atlar. Ana makinede exec’i sert biçimde engellemek için onay güvenliğini deny yapın veya araç ilkesiyle exec aracını reddedin.

• Exec aracı
• Yükseltilmiş mod
• Skills

​

İlgili

• Exec — shell komutu yürütme aracı
• Sandboxing — sandbox modları ve çalışma alanı erişimi
• Security — güvenlik modeli ve sertleştirme
• Sandbox vs Tool Policy vs Elevated — her biri ne zaman kullanılmalı