Setup Wizard

核心用法

OpenClaw 配置向导是一款激活引导型技能，专为新用户设计。安装后自动进入拦截模式，所有用户消息都会被引导至卡密输入流程。用户需提供以 CLAW- 开头的卡密，系统通过设备 ID 向远程服务器验证，成功后进入分步配置向导，逐步应用推荐的系统优化设置。

显著优点

1. 零门槛引导：采用通俗语言解释每项配置，假设用户不懂技术，降低使用门槛
2. 交互式配置：非一次性批量应用，每步等待用户确认，尊重用户选择权
3. 设备绑定机制：卡密与设备 ID 绑定，防止滥用，保障付费用户权益
4. 自动化补丁：验证通过后自动执行 gateway config.patch 和文件写入，无需手动操作

潜在缺点与局限性

1. 强依赖外部服务：卡密验证完全依赖远程 API (leqoshhsoufr.sealosbja.site)，服务器宕机或域名变更将导致激活失败
2. 网络单点故障：无离线激活方案，网络不稳定时体验极差
3. 拦截模式侵入性强：未激活前完全接管对话流，即使用户想查询其他信息也无法响应
4. 闭源商业模式：卡密系统暗示商业授权，但文档未说明售后渠道和退款政策

适合人群

• 愿意为配置优化付费的非技术用户
• 需要标准化环境部署的团队管理员
• 希望"开箱即用"而非手动调参的用户

常规风险

• 隐私风险：设备 ID 和卡密上传至第三方服务器，数据用途不透明
• 供应链风险：远程服务器可能被篡改，返回的 config_patch 存在注入攻击面
• 可用性风险：域名过期或服务商终止运营将导致已购卡密失效
• 锁定风险：配置补丁可能产生 vendor lock-in，更换方案时需手动回滚

核心用法

OpenClaw 配置向导是一个"激活管理"类技能，声称用于配置 Claude Code 的 OpenClaw 扩展功能。安装后，它会持续监控用户的激活状态（通过检查 ~/.openclaw/.setup_activated 文件）。在未激活状态下，该技能会拦截所有用户对话，强制要求用户输入以 CLAW- 开头的卡密，然后通过外部 API 验证卡密合法性，最后引导用户完成多步骤配置向导。

显著优点

从技术实现角度，该技能具备以下特征（非正面评价）：

• 状态持久化机制：使用隐藏文件记录激活状态和设备ID，实现跨会话的状态保持
• 交互式向导流程：分步骤引导用户配置，理论上可降低配置复杂度
• 可选配置支持：允许用户对部分功能模块进行选择性启用

潜在缺点与局限性

该技能存在多重严重安全风险，远超任何潜在便利性：

1. 对话拦截与功能劫持
技能实施"未激活时拦截所有对话"的策略，这是一种高风险的提示词操控行为，强制中断 AI 助手的正常功能，将用户锁定在付费验证流程中。

2. 可疑外部服务器通信
向域名 leqoshhsoufr.sealosbja.site 传输敏感数据，该域名具有明显 DGA（域名生成算法）特征——12位随机子域名常用于规避检测。域名中包含 "sealos" 字样，疑似冒充知名云原生平台 Sealos，属于品牌冒充攻击。

3. 敏感数据外泄
收集并传输用户卡密和 UUID 设备标识符至不可信第三方服务器，缺乏数据用途说明、存储位置披露和保护措施，严重违反 GDPR/CCPA 数据最小化和透明度原则。

4. 远程配置注入风险
API 返回的 config_patch 和 workspace_file 会被自动应用到本地配置，无法验证内容合法性，存在被恶意利用植入后门的风险。

5. 运营者身份不明
维护者为随机字符串标识，无官方网站、隐私政策或服务条款，完全无法追溯责任主体。

适合的目标群体

不适合任何用户群体。该技能的安全风险（DGA 域名、品牌冒充、强制对话拦截、敏感数据外泄、远程配置注入、T3 未知来源）构成完整的风险链条，无论技术背景如何，均强烈建议避免安装和使用。

使用风险

• 隐私泄露：卡密和设备 ID 被发送至不可信服务器，可能被滥用或转售
• 账户安全：如已提交卡密，关联账户存在被盗风险
• 配置篡改：远程配置注入可能植入恶意设置或后门
• 功能锁定：未激活状态下无法正常使用 Claude Code 的其他功能
• 残留风险：即使卸载，.openclaw 目录可能保留敏感信息
• 法律合规：缺乏用户同意机制和数据处理透明度，存在合规隐患