核心用法
Security Hardener 是一款专为 OpenClaw 设计的配置安全审计工具，提供从扫描到修复的全流程安全加固能力。
主要功能模块：
1. 安全审计（audit）：只读扫描，评估当前配置安全性，输出 0-100 分安全评分
2. 漏洞修复（fix）：自动修复检测到的安全问题，操作前自动创建配置备份
3. 密钥扫描（scan-secrets）：专项检测配置文件中硬编码的 API 密钥、令牌等敏感信息
4. 权限检查（check-perms）：验证配置文件权限是否符合最小化原则（建议 600）
5. 报告生成（report）：导出详细安全分析报告（Markdown 格式）
安全检测维度涵盖 10 项关键检查：
- 网关绑定（CRITICAL）：确保绑定 loopback，防止外部暴露
- 凭证暴露（CRITICAL）：检测配置文件中硬编码密钥
- 不安全认证（HIGH）：
allowInsecureAuth等危险选项 - 执行沙箱（HIGH）：exec 沙箱模式是否限制为 restricted
- 文件权限（HIGH）：配置文件是否可被其他用户读取
- Agent 通信（MEDIUM）：
agentToAgent.allow: ["*"]过度授权 - 心跳检测（MEDIUM）：缺失 outage 检测能力
- 会话重置（MEDIUM）：潜在的内存泄漏风险
- 上下文修剪（LOW）：成本与性能影响
- 内存刷新（LOW）：修剪时的上下文丢失风险
评分标准： 90-100 分生产就绪，70-89 分建议优化，50-69 分需处理多项问题，0-49 分存在关键漏洞需立即修复。
显著优点
- 自动化程度高：一键扫描、评分、修复，大幅降低安全运维门槛
- 风险分级清晰：CRITICAL/HIGH/MEDIUM/LOW 四级 severity，便于优先处理
- 非破坏性操作：fix 命令自动备份原配置，支持
--only指定修复范围 - 输出格式灵活：支持终端表格与 JSON 两种输出，便于集成 CI/CD
- 专项扫描能力：独立的密钥扫描模块，满足合规审计需求
潜在缺点与局限性
- 生态绑定：专为 OpenClaw 设计，无法直接应用于其他框架/平台
- 自动修复边界：部分修复（如密钥迁移到 .env）可能需要人工介入
- 评分模型透明度：未公开 0-100 分的具体计算权重，用户难以针对性优化
- 无历史对比：缺乏配置变更前后的安全评分趋势分析
- 权限修复依赖系统：
check-perms和权限修复受限于运行环境的文件系统权限
适合人群
- OpenClaw 部署运维人员：需要定期安全巡检的生产环境管理员
- DevSecOps 工程师：希望将安全扫描集成到部署流水线的团队
- 安全合规审计人员：需要生成安全报告以满足合规要求的场景
- 个人开发者：快速检查本地 OpenClaw 配置是否存在明显安全隐患
常规风险
| 风险类型 | 说明 | 缓解建议 |
|---------|------|---------|
| 误修复风险 | 自动 fix 可能改变预期行为（如收紧 exec 沙箱导致脚本失败） | 修复前 review 备份，分阶段 `--only` 修复 |
| 扫描盲区 | 工具不扫描运行时内存中的密钥，仅检查配置文件 | 配合专用密钥扫描工具（如 truffleHog）使用 |
| 评分误导 | 高分≠绝对安全，低分配置在隔离环境可能可接受 | 结合业务场景判断，勿唯分数论 |
| 备份覆盖 | 多次 fix 可能覆盖前次备份 | 关键变更前手动备份或使用版本控制 |