核心用法
Session Password 是一款专为 OpenClaw 会话设计的安全认证守卫。用户在会话启动或提及认证关键词时触发口令验证，通过 bcrypt 哈希算法（成本因子 12）存储密码，支持可配置的超时机制（默认 60 分钟）和 5 次失败尝试后的 15 分钟锁定策略。
安装后运行 setup.js 向导完成初始化，配置文件存储于 memory/ 目录下。支持中英双语指令，如「忘记口令」触发邮箱恢复、「修改口令」更新凭证、「卸载口令skill」移除认证。
显著优点
1. 工业级加密标准：采用 bcrypt 自适应哈希，成本因子 12 有效抵御暴力破解与彩虹表攻击。
2. 多层容错机制：主密码+安全问题+邮箱恢复三重保障，降低单点故障风险。
3. 灵活计费模式：29 USDT 买断或 0.9 USDT 按次付费，最低 8 USDT 存款门槛，适配不同使用频率。
4. 审计追踪完整：独立日志文件记录认证事件，满足合规需求。
5. 平台原生集成：SkillPay 计费无缝对接，BNB Chain USDT 结算高效便捷。
潜在缺点与局限性
- 密钥管理责任：用户需自行备份
memory/目录下的配置文件，丢失后无中心化恢复途径。 - 会话绑定限制：认证状态随会话生命周期管理，跨设备或清缓存后需重新验证。
- 邮箱恢复依赖外部服务：邮件送达率受第三方 SMTP 稳定性影响。
- 无生物识别/硬件密钥：未支持 WebAuthn、指纹等现代无密码方案。
- 锁定策略固定：15 分钟冷却期不可动态调整，极端场景下灵活性不足。
适合人群
- 处理商业机密、法律咨询、医疗记录等高敏感对话的专业人士
- 企业团队部署 OpenClaw 时的合规安全加固需求
- 对会话隐私有强要求、愿为安全支付溢价的个人用户
常规风险
| 风险类型 | 说明 |
|---------|------|
| 配置泄露 | `auth-users.json` 等文件权限设置不当可能导致哈希泄露 |
| 社会工程攻击 | 安全问题答案强度不足可被猜测 |
| 邮件拦截 | 恢复邮件被劫持导致账户接管 |
| 供应链风险 | 依赖 SkillPay 与 BNB Chain 的可用性与安全性 |
建议定期轮换口令、启用独立邮箱用于恢复、将 memory/ 目录纳入加密备份策略。