核心用法
secucheck 是专为 OpenClaw 设计的综合安全审计技能，执行只读扫描后生成风险报告与可视化仪表盘。用户通过自然语言指令（如"security audit"或"secucheck"）触发，系统会先询问专业层级（Beginner/Intermediate/Expert），随后执行7大域检测并输出本地化报告。
检测范围
| 域 | 检查内容 |
|----|----------|
| Runtime | VPN、容器、进程权限、网络暴露 |
| Channels | 频道策略、DM/群组访问控制 |
| Agents | 工具权限、代码执行风险 |
| Cron | 定时任务安全性 |
| Skills | 已安装技能的安全扫描 |
| Sessions | 会话隔离与数据泄露风险 |
| Network | 网关绑定、端口暴露、外部IP |
输出形式
- 文本报告：按域分组，四级风险标识（Critical/High/Medium/Low）
- HTML仪表盘：自动在浏览器打开，含安全评分可视化
---
显著优点
1. 三层解释深度：同一检测结果可输出"类比讲解""技术配置"或"攻击向量+CVE"三种版本，降低非技术用户门槛
2. 上下文感知：自动识别 VPN/Tailscale、单用户自托管、容器化等场景，动态调整风险评估（如 VPN 环境下网络暴露降级为低风险）
3. 跨平台完备：原生支持 Linux/macOS/WSL/Windows，内置平台检测与命令回退机制（ss→netstat、ip→ifconfig 等）
4. 零侵入性：全程只读，所有修复需用户显式确认，避免误操作破坏生产环境
5. 自动触发机制：在技能安装、Agent 创建/修改、Cron 变更时自动执行针对性审计
---
潜在局限
| 局限 | 说明 |
|------|------|
| 依赖脚本环境 | 部分精简环境（Docker/DSM）可能缺失 `curl`/`ss`/`ip` 等工具，需触发回退逻辑，检测完整性可能受限 |
| Windows 原生支持有限 | 脚本失败后需切至 PowerShell 手动指令，体验不如 Unix 流畅 |
| 无主动防御 | 仅识别风险不自动修复，高阶用户可能期望一键加固功能 |
| 攻击场景模板化 | 专家级攻击向量基于内置模板，对 0-day 或定制化攻击链覆盖不足 |
---
适合人群
- 个人开发者/自托管用户：需低成本、无侵入的安全基线检查
- 小团队管理员：定期审查多 Agent、多技能配置的暴露面
- 安全意识培训：利用 Beginner 模式的类比讲解进行团队安全教育
- 合规审计场景：生成只读报告作为安全态势文档
---
常规风险
1. 信息泄露风险：审计过程会收集网络配置、端口绑定、文件权限等敏感信息，报告需妥善保管
2. 仪表盘本地服务：serve_dashboard.sh 启动的 HTTP 服务（默认8766端口）若绑定非本地接口，可能被内网嗅探
3. 误报与漏报：容器/VM 环境中的权限判断可能因 namespace 隔离产生误判；Windows 路径权限检测精度低于 Unix
4. 社会工程诱导：攻击者可能伪造 audit 结果诱导用户执行"建议的修复"，需验证修复指令来源
---
综合评估
secucheck 在"易用性-安全性-可扩展性"三角中取得良好平衡：非技术用户可通过仪表盘直观理解风险，技术用户可深入检查脚本与攻击场景模板进行二次开发。其只读哲学降低了使用门槛，但也意味着用户需额外步骤完成整改——这既是安全设计（防止自动化破坏），也是体验折中。建议每周执行一次完整审计，并在任何配置变更后触发自动检查。