核心用法
iapctl 是面向 Aruba Instant AP（IAP/UAP）的专业配置管理 CLI，核心工作流围绕 discover → snapshot → diff → apply → verify → rollback 六大阶段展开：
- discover：自动探测集群拓扑与设备模式（Virtual Controller / Single-Node Cluster / Standalone AP），识别 OS 版本与 AP 数量
- snapshot：生成全量配置快照，包括 running-config、WLAN、AP database、radio、interface 等 10+ 类原始输出，并附带结构化 JSON 报告
- diff：对比当前配置与期望变更，生成可审计的差异文件
- apply / rollback：执行变更或回滚，需经 OpenClaw 审批流，支持命令级原子操作与自动回退
- verify：多层级（basic/full）状态校验，确保变更生效
设备模式自动识别是亮点：通过版本字符串、virtual-controller-key 检测、BSS 表分析三级算法，动态适配命令集（如 VC 用 show ap database，Standalone 用 show ap info），失败时自动降级到备选命令。
显著优点
1. 多模式无缝兼容：单一工具覆盖 VC 集群、单节点伪集群、独立 AP 三种部署形态，消除多套脚本维护成本
2. 审计友好输出：每次操作同时生成机器可读 JSON（result.json）与人可读原始文本（raw/*.txt），满足合规留痕要求
3. 安全设计：SSH key 优先、密码强制引用 secret_ref（env/file/内存存储）、敏感字段自动脱敏（*REDACTED*），变更需显式审批
4. 健壮性：内置分页处理、超时重试、连接保活，复杂网络环境下仍可稳定执行
5. OpenClaw 深度集成：通过 Bash(iapctl:*) 严格白名单控制，高危操作（apply/rollback）强制走审批流，低风险操作（discover/snapshot）自动放行
潜在局限
- 平台绑定：仅支持 Aruba IAP 系列，无法直接迁移至 Aruba AOS-CX 交换机或第三方品牌 AP
- OS 版本差异：Instant 6.x/8.x/AOS 10.x 特性支持度不一，部分高级功能（如 RF 模板）在旧版本可能不可用
- Secret 生态待完善：macOS Keychain、HashiCorp Vault、AWS Secrets Manager 等外部密钥存储尚处 TODO 阶段，当前主要依赖文件与环境变量
- 硬件依赖：设备模式检测依赖特定命令回显，若厂商 CLI 行为变更或定制化固件，可能误判
适合人群
- 企业网络运维工程师：需批量管理数十至数百台 Aruba IAP，追求配置基线化与变更可追溯
- MSP/集成商：为多客户维护异构 Aruba 环境，需统一工具链降低学习成本
- DevOps/SRE 团队：希望将无线配置纳入 GitOps 或 Infrastructure as Code 流水线，利用 JSON 输出做自动化测试
- 安全审计人员：依赖结构化日志与审批流，满足变更管理合规要求
常规风险
| 风险类型 | 具体场景 | 缓解措施 |
|---------|---------|---------|
| 误操作导致服务中断 | apply 错误 VLAN 或 SSID 配置，导致用户掉线 | 强制 snapshot 基线 + diff 人工 review + rollback 能力 |
| 凭证泄露 | 命令行明文传入 `--ssh-password` 被 shell history 记录 | 优先使用 SSH key；密码必须通过 secret_ref 引用，禁止硬编码 |
| 设备模式误判 | 新固件或特殊拓扑导致检测失败，执行不兼容命令 | 执行后检查 result.json 的 `device_mode` 与 `warnings` 字段，异常时人工介入 |
| 并发变更冲突 | 多人同时操作同一 VC，配置覆盖 | 依赖 OpenClaw 审批流天然串行化，避免并发 |
| 网络分区 | 快照过程中 SSH 断开，文件不完整 | 命令内置超时重试与连接保活，失败时 result.json 标记 `ok: false` 并附错误详情 |