Restart Guard 综合评估
核心用法
Restart Guard 是专为 OpenClaw 网关设计的确定性重启工具，通过状态机验证（down→up）确保重启过程可控。用户可通过自然语言（如"现在重启吧"）触发全自动流程，无需手动执行脚本。系统会自动推断源会话、发现通知渠道，并在重启完成后主动回报结果。
标准流程包含：① 自动发现通知渠道；② 写入现场上下文（含重启原因、校验命令、恢复指令）；③ 执行带守护的重启；④ 事后健康校验。核心入口 auto_restart.py 默认采用 --notify-mode origin，优先将结果回发至用户原始会话。
显著优点
- 零配置触发：自然语言即可启动完整流程，自动推断会话与渠道
- 确定性保障：严格的状态机验证（
down_detected && start_attempted && up_healthy），避免"假重启" - 多渠道灾备：支持 Telegram、Discord、Slack、飞书及自定义 webhook，自动构建有效通知计划
- 安全加固完善：shell=False 子进程、显式拒绝 shell 元字符、敏感信息自动脱敏、webhook 模板注入防护
- 上下文恢复：持久化
origin_session_key、restart_id、state_timestamps等，支持灾难后精准恢复会话 - 向后兼容：支持从示例配置平滑迁移，无破坏性变更
潜在缺点与局限性
- T3 来源可信度：由个人开发者（zjianru）维护，虽 MIT 开源可审计，但企业级场景需额外信任评估
- 外部 API 依赖：依赖 Telegram/Discord/Slack 等第三方平台可用性，网络中断时可能延迟通知
- curl 子进程模式：网络请求通过 curl 子进程实现，虽避免了 Python 依赖，但增加了进程管理复杂度
- 环境变量敏感：所有凭证均从环境变量读取，若主机安全配置不当（如 644 权限的 profile 文件）存在泄露风险
- 无长期驻留：Guardian 在交付成功或预算耗尽后退出，无法持续监控网关健康状态
适合人群
- OpenClaw 网关运维人员：需要安全、可审计的重启操作
- 自动化平台集成者：需将网关重启纳入 CI/CD 或 ChatOps 流程
- 多团队协作场景：依赖 IM 工具（Telegram/Discord/Slack）进行运维通知同步的团队
- 安全敏感环境：重视命令注入防护、最小权限原则和审计追溯的运维场景
常规风险
1. 配置漂移：config/restart-guard.yaml 若未版本控制，可能导致不同环境行为不一致
2. 通知轰炸：高频重启场景下，若未配置频率限制，可能触发 IM 平台限流
3. 健康检查误报：openclaw health --json 返回语义需严格约定，否则可能误判为"up_healthy"实际未就绪
4. 会话 key 失效：长时间跨度后 origin_session_key 可能过期，导致重启结果无法送达原会话
5. Webhook URL 劫持：若环境变量中的 webhook URL 被恶意替换，重启通知可能被截获