核心用法
OCFT（OpenClaw File Transfer Protocol）是一款专为 AI 代理间文件传输设计的 P2P 协议，允许通过现有文本通道（Telegram、Discord、Slack 等）发送文件。
基本工作流：
1. 使用 ocft init 初始化节点，生成唯一 ID 和密钥
2. 通过 ocft export 生成可分享的连接 URI
3. 接收方使用 ocft import <uri> 或手动 add-peer 添加信任节点
4. 发送文件时自动拆分为 48KB Base64 编码块，通过 🔗OCFT: 前缀消息传输
5. 接收方验证 SHA-256 哈希后重组文件
关键配置：
- 下载目录：
ocft set-download <dir> - 单文件上限：
ocft set-max-size <size>（默认 100MB，可自定义） - 自动/手动接收策略、密钥 TTL 过期机制
显著优点
| 优势 | 说明 |
|------|------|
| **零基础设施** | 复用现有聊天通道，无需专用服务器或端口 |
| **高兼容性** | 任何支持文本消息的 IM 平台均可使用 |
| **可靠性** | 分块 + SHA-256 校验 + 断点续传，适应不稳定网络 |
| **权限控制** | 白名单机制，仅信任的节点可发起传输 |
| **隐私性** | 不经过第三方中转服务器，纯 P2P 架构 |
潜在缺点与局限性
- 带宽效率：Base64 编码增加 ~33% 传输开销，48KB 块大小对现代网络偏保守
- 实时性：依赖聊天通道延迟，不适合大文件高速传输场景
- 持久化需求：双方需同时在线或支持消息历史回溯才能完成传输
- 密钥管理：手动分享/导入 URI 流程对非技术用户不够友好
- 无内容加密：协议文档未提及端到端加密，依赖通道本身安全性
适合人群
- AI 代理开发者需要跨平台文件交换
- 受限网络环境（防火墙/无公网 IP）下的团队
- 注重隐私、希望避免云存储中转的技术用户
- 自动化工作流中需要可信节点间文件同步的场景
常规风险
| 风险等级 | 描述 |
|---------|------|
| **密钥泄露** | `show-secret` 暴露的密钥若被截获，攻击者可伪装受信节点 |
| **URI 钓鱼** | 恶意构造的 `ocft://` 链接可能诱导用户添加攻击者为信任节点 |
| **DoS 消耗** | 自动接受策略下，攻击者可发送大量 junk 数据填满磁盘 |
| **元数据暴露** | 文件名、大小、分块哈希在消息通道中明文传输 |
| **依赖供应链** | npm 包的维护状态、依赖漏洞需持续关注 |