Documentation Index
Fetch the complete documentation index at: https://docs.openclaw.ai/llms.txt
Use this file to discover all available pages before exploring further.
openclaw secrets
Sử dụng openclaw secrets để quản lý SecretRefs và giữ cho bản chụp runtime đang hoạt động luôn ổn định.
Vai trò của lệnh:
reload: RPC Gateway (secrets.reload) phân giải lại refs và chỉ hoán đổi bản chụp runtime khi thành công hoàn toàn (không ghi cấu hình).audit: quét chỉ đọc các kho cấu hình/xác thực/mô hình đã tạo và phần tồn dư cũ để tìm plaintext, refs chưa được phân giải và sai lệch thứ tự ưu tiên (refs exec được bỏ qua trừ khi đặt--allow-exec).configure: bộ lập kế hoạch tương tác cho thiết lập nhà cung cấp, ánh xạ đích và kiểm tra trước (yêu cầu TTY).apply: thực thi một kế hoạch đã lưu (--dry-runchỉ để xác thực; dry-run mặc định bỏ qua kiểm tra exec, và chế độ ghi từ chối các kế hoạch chứa exec trừ khi đặt--allow-exec), sau đó xóa các phần tồn dư plaintext được nhắm mục tiêu.
exec, hãy truyền --allow-exec cho cả lệnh apply dry-run và apply ghi.
Ghi chú về mã thoát cho CI/cổng kiểm tra:
audit --checktrả về1khi có phát hiện.- refs chưa được phân giải trả về
2.
- Hướng dẫn bí mật: Quản lý bí mật
- Bề mặt thông tin xác thực: Bề mặt thông tin xác thực SecretRef
- Hướng dẫn bảo mật: Bảo mật
Tải lại bản chụp runtime
Phân giải lại các ref bí mật và hoán đổi nguyên tử bản chụp runtime.- Sử dụng phương thức RPC Gateway
secrets.reload. - Nếu phân giải thất bại, Gateway giữ bản chụp tốt đã biết gần nhất và trả về lỗi (không kích hoạt một phần).
- Phản hồi JSON bao gồm
warningCount.
--url <url>--token <token>--timeout <ms>--json
Kiểm tra
Quét trạng thái OpenClaw để tìm:- lưu trữ bí mật plaintext
- refs chưa được phân giải
- sai lệch thứ tự ưu tiên (thông tin xác thực trong
auth-profiles.jsonche khuất refs trongopenclaw.json) - phần tồn dư
agents/*/agent/models.jsonđã tạo (giá trịapiKeycủa nhà cung cấp và header nhà cung cấp nhạy cảm) - phần tồn dư cũ (mục kho xác thực cũ, lời nhắc OAuth)
- Việc phát hiện header nhà cung cấp nhạy cảm dựa trên heuristic tên (tên header xác thực/thông tin xác thực phổ biến và các đoạn như
authorization,x-api-key,token,secret,passwordvàcredential).
--checkthoát khác không khi có phát hiện.- refs chưa được phân giải thoát với mã khác không có mức ưu tiên cao hơn.
status:clean | findings | unresolvedresolution:refsChecked,skippedExecRefs,resolvabilityCompletesummary:plaintextCount,unresolvedRefCount,shadowedRefCount,legacyResidueCount- mã phát hiện:
PLAINTEXT_FOUNDREF_UNRESOLVEDREF_SHADOWEDLEGACY_RESIDUE
Cấu hình (trợ lý tương tác)
Xây dựng thay đổi nhà cung cấp và SecretRef theo cách tương tác, chạy kiểm tra trước và tùy chọn áp dụng:- Thiết lập nhà cung cấp trước (
add/edit/removecho bí danhsecrets.providers). - Ánh xạ thông tin xác thực thứ hai (chọn trường và gán refs
{source, provider, id}). - Kiểm tra trước và tùy chọn áp dụng sau cùng.
--providers-only: chỉ cấu hìnhsecrets.providers, bỏ qua ánh xạ thông tin xác thực.--skip-provider-setup: bỏ qua thiết lập nhà cung cấp và ánh xạ thông tin xác thực tới nhà cung cấp hiện có.--agent <id>: giới hạn phạm vi phát hiện đích và ghiauth-profiles.jsonvào một kho tác tử.--allow-exec: cho phép kiểm tra SecretRef exec trong khi kiểm tra trước/áp dụng (có thể thực thi lệnh nhà cung cấp).
- Yêu cầu TTY tương tác.
- Bạn không thể kết hợp
--providers-onlyvới--skip-provider-setup. configurenhắm tới các trường chứa bí mật trongopenclaw.jsoncùng vớiauth-profiles.jsoncho phạm vi tác tử đã chọn.configurehỗ trợ tạo trực tiếp các ánh xạauth-profiles.jsonmới trong luồng bộ chọn.- Bề mặt được hỗ trợ chính thức: Bề mặt thông tin xác thực SecretRef.
- Lệnh thực hiện phân giải kiểm tra trước trước khi áp dụng.
- Nếu kiểm tra trước/áp dụng bao gồm refs exec, hãy giữ
--allow-execđược đặt cho cả hai bước. - Kế hoạch đã tạo mặc định bật các tùy chọn xóa (
scrubEnv,scrubAuthProfilesForProviderTargets,scrubLegacyAuthJsonđều được bật). - Đường dẫn áp dụng là một chiều đối với các giá trị plaintext đã bị xóa.
- Nếu không có
--apply, CLI vẫn nhắcApply this plan now?sau kiểm tra trước. - Với
--apply(và không có--yes), CLI nhắc thêm một xác nhận không thể đảo ngược. --jsonin kế hoạch + báo cáo kiểm tra trước, nhưng lệnh vẫn yêu cầu TTY tương tác.
- Các bản cài đặt Homebrew thường hiển thị binary được liên kết tượng trưng dưới
/opt/homebrew/bin/*. - Chỉ đặt
allowSymlinkCommand: truekhi cần cho các đường dẫn trình quản lý gói đáng tin cậy, và ghép vớitrustedDirs(ví dụ["/opt/homebrew"]). - Trên Windows, nếu không thể xác minh ACL cho đường dẫn nhà cung cấp, OpenClaw sẽ đóng an toàn. Chỉ với các đường dẫn đáng tin cậy, đặt
allowInsecurePath: truetrên nhà cung cấp đó để bỏ qua kiểm tra bảo mật đường dẫn.
Áp dụng kế hoạch đã lưu
Áp dụng hoặc kiểm tra trước một kế hoạch đã tạo trước đó:--dry-runxác thực kiểm tra trước mà không ghi tệp.- kiểm tra SecretRef exec mặc định bị bỏ qua trong dry-run.
- chế độ ghi từ chối các kế hoạch chứa SecretRefs/nhà cung cấp exec trừ khi đặt
--allow-exec. - Sử dụng
--allow-execđể chọn tham gia kiểm tra/thực thi nhà cung cấp exec ở một trong hai chế độ.
apply có thể cập nhật:
openclaw.json(đích SecretRef + upsert/xóa nhà cung cấp)auth-profiles.json(xóa theo đích nhà cung cấp)- phần tồn dư
auth.jsoncũ - khóa bí mật đã biết trong
~/.openclaw/.envcó giá trị đã được di chuyển
Tại sao không có bản sao lưu rollback
secrets apply cố ý không ghi bản sao lưu rollback chứa các giá trị plaintext cũ.
Sự an toàn đến từ kiểm tra trước nghiêm ngặt + áp dụng gần như nguyên tử với khôi phục trong bộ nhớ theo nỗ lực tốt nhất khi thất bại.
Ví dụ
audit --check vẫn báo cáo các phát hiện plaintext, hãy cập nhật các đường dẫn đích còn lại được báo cáo và chạy lại kiểm tra.