核心功能
Clawdos 是一款面向 Windows 平台的远程自动化执行接口，通过 REST API 提供 18 项底层控制能力，涵盖六大功能域：
- 健康监测：
health_check、get_env— 验证服务状态并获取主机环境信息（含屏幕分辨率等关键参数） - 屏幕捕获：
screen_capture— 实时获取桌面截图，为视觉反馈循环提供基础 - 输入模拟：完整支持鼠标操作（点击、移动、拖拽、滚动）与键盘输入（组合键、文本输入、批量输入）
- 窗口管理：枚举窗口列表、切换焦点
- 文件系统：受限的目录浏览、读写、创建、删除、移动操作
- Shell 执行：
shell_exec— 服务端白名单限制的命令执行
显著优点
1. 细粒度控制：相比传统 RPA 工具，提供像素级鼠标控制和原生键盘事件，可处理复杂 UI 交互
2. 视觉反馈闭环：内置 Move-Verify-Correct 策略，通过截图校准降低坐标漂移风险
3. 坐标自动缩放：支持根据视图尺寸与物理分辨率差异自动换算坐标，适配远程桌面等场景
4. 分层安全沙箱：文件操作限制在配置的工作目录内，Shell 命令经服务端白名单过滤
潜在局限
- 依赖本地服务端：必须在目标 Windows 主机预先部署 Clawdos 服务，无法即开即用
- 网络暴露风险：REST 接口默认监听
127.0.0.1:17171，若配置不当外放将扩大攻击面 - 视觉操作脆弱性：尽管有校准策略，动态 UI（如广告弹窗、分辨率变更）仍可能导致自动化失败
- Shell 白名单限制：高级系统管理场景下，预设命令集可能不足以覆盖需求
适合人群
- 需要远程维护 Windows 服务器的运维工程师
- 构建桌面自动化工作流的 RPA 开发者
- 需在 Windows 环境执行集成测试的 CI/CD 流水线
- 教育/演示场景中需要程序化控制 Windows 界面的技术讲师
常规风险
| 风险类型 | 说明 |
|---------|------|
| 未授权访问 | API Key 泄露可导致主机完全失控 |
| 横向移动 | 一旦被控，可能成为内网渗透的跳板 |
| 数据泄露 | `screen_capture` 可获取敏感界面信息 |
| 操作失误 | 自动化脚本错误可能导致文件误删、错误输入等 |
建议始终通过 VPN/SSH 隧道访问，定期轮换 API Key，并在生产环境启用更严格的网络隔离。