​

Phê Duyệt Thực Thi

​

Áp Dụng Ở Đâu

• máy chủ gateway → quá trình openclaw trên máy gateway
• máy chủ node → node runner (ứng dụng đồng hành macOS hoặc máy chủ node không giao diện)

• Người gọi được xác thực qua Gateway là các nhà vận hành đáng tin cậy cho Gateway đó.
• Các node được ghép nối mở rộng khả năng vận hành đáng tin cậy đó lên máy chủ node.
• Phê duyệt thực thi giảm rủi ro thực thi ngẫu nhiên, nhưng không phải là ranh giới xác thực từng người dùng.
• Các lần chạy trên máy chủ node được phê duyệt ràng buộc ngữ cảnh thực thi chuẩn: cwd chuẩn, argv chính xác, ràng buộc môi trường khi có, và đường dẫn thực thi cố định khi áp dụng.
• Đối với các script shell và các lệnh gọi trực tiếp file interpreter/runtime, OpenClaw cũng cố gắng ràng buộc một file cục bộ cụ thể. Nếu file đó thay đổi sau khi phê duyệt nhưng trước khi thực thi, lần chạy sẽ bị từ chối thay vì thực thi nội dung đã thay đổi.
• Ràng buộc file này được thực hiện với nỗ lực tốt nhất, không phải là mô hình ngữ nghĩa hoàn chỉnh của mọi đường dẫn loader interpreter/runtime. Nếu chế độ phê duyệt không thể xác định chính xác một file cục bộ cụ thể để ràng buộc, nó từ chối tạo một lần chạy được hỗ trợ phê duyệt thay vì giả vờ bao phủ hoàn toàn.

• dịch vụ máy chủ node chuyển tiếp system.run đến ứng dụng macOS qua IPC cục bộ.
• ứng dụng macOS thực thi phê duyệt + thực thi lệnh trong ngữ cảnh giao diện người dùng.

​

Cài Đặt và Lưu Trữ

{
  "version": 1,
  "socket": {
    "path": "~/.openclaw/exec-approvals.sock",
    "token": "base64url-token"
  },
  "defaults": {
    "security": "deny",
    "ask": "on-miss",
    "askFallback": "deny",
    "autoAllowSkills": false
  },
  "agents": {
    "main": {
      "security": "allowlist",
      "ask": "on-miss",
      "askFallback": "deny",
      "autoAllowSkills": true,
      "allowlist": [
        {
          "id": "B0C8C0B3-2C2D-4F8A-9A3C-5A4B3C2D1E0F",
          "pattern": "~/Projects/**/bin/rg",
          "lastUsedAt": 1737150000000,
          "lastUsedCommand": "rg -n TODO",
          "lastResolvedPath": "/Users/user/Projects/.../bin/rg"
        }
      ]
    }
  }
}

​

Các Tùy Chọn Chính Sách

​

Bảo Mật (exec.security)

• deny: chặn tất cả các yêu cầu thực thi trên máy chủ.
• allowlist: chỉ cho phép các lệnh trong danh sách cho phép.
• full: cho phép mọi thứ (tương đương với chế độ nâng cao).

​

Hỏi (exec.ask)

• off: không bao giờ nhắc nhở.
• on-miss: chỉ nhắc nhở khi danh sách cho phép không khớp.
• always: nhắc nhở trên mọi lệnh.

​

Hỏi Dự Phòng (askFallback)

• deny: chặn.
• allowlist: chỉ cho phép nếu danh sách cho phép khớp.
• full: cho phép.

​

Danh Sách Cho Phép (theo agent)

• ~/Projects/**/bin/peekaboo
• ~/.local/bin/*
• /opt/homebrew/bin/rg

• id UUID ổn định dùng cho nhận diện giao diện người dùng (tùy chọn)
• lần sử dụng cuối dấu thời gian
• lệnh sử dụng cuối
• đường dẫn giải quyết cuối

​

Tự Động Cho Phép CLI Kỹ Năng

• Đây là một danh sách cho phép tiện lợi ngầm, tách biệt với các mục danh sách cho phép đường dẫn thủ công.
• Nó được dự định cho các môi trường vận hành đáng tin cậy nơi Gateway và node nằm trong cùng một ranh giới tin cậy.
• Nếu bạn yêu cầu sự tin cậy rõ ràng nghiêm ngặt, giữ autoAllowSkills: false và chỉ sử dụng các mục danh sách cho phép đường dẫn thủ công.

​

Bins An Toàn (chỉ stdin)

• grep: --dereference-recursive, --directories, --exclude-from, --file, --recursive, -R, -d, -f, -r
• jq: --argfile, --from-file, --library-path, --rawfile, --slurpfile, -L, -f
• sort: --compress-program, --files0-from, --output, --random-source, --temporary-directory, -T, -o
• wc: --files0-from

​

Bins An Toàn So Với Danh Sách Cho Phép

• safeBins đến từ cấu hình (tools.exec.safeBins hoặc theo agent agents.list[].tools.exec.safeBins).
• safeBinTrustedDirs đến từ cấu hình (tools.exec.safeBinTrustedDirs hoặc theo agent agents.list[].tools.exec.safeBinTrustedDirs).
• safeBinProfiles đến từ cấu hình (tools.exec.safeBinProfiles hoặc theo agent agents.list[].tools.exec.safeBinProfiles). Các khóa hồ sơ theo agent ghi đè các khóa toàn cầu.
• Các mục danh sách cho phép nằm trong ~/.openclaw/exec-approvals.json cục bộ máy chủ dưới agents.<id>.allowlist (hoặc qua giao diện điều khiển / openclaw approvals allowlist ...).
• openclaw security audit cảnh báo với tools.exec.safe_bins_interpreter_unprofiled khi các nhị phân interpreter/runtime xuất hiện trong safeBins mà không có hồ sơ rõ ràng.
• openclaw doctor --fix có thể tạo khung các mục safeBinProfiles.<bin> tùy chỉnh bị thiếu dưới dạng {} (xem xét và thắt chặt sau đó). Các nhị phân interpreter/runtime không được tự động tạo khung.

{
  tools: {
    exec: {
      safeBins: ["jq", "myfilter"],
      safeBinProfiles: {
        myfilter: {
          minPositional: 0,
          maxPositional: 0,
          allowedValueFlags: ["-n", "--limit"],
          deniedFlags: ["-f", "--file", "-c", "--command"],
        },
      },
    },
  },
}

​

Chỉnh Sửa Giao Diện Điều Khiển

​

Luồng Phê Duyệt

​

Lệnh Interpreter/Runtime

• Ngữ cảnh argv/cwd/env chính xác luôn được ràng buộc.
• Các script shell trực tiếp và các dạng file runtime trực tiếp được ràng buộc với nỗ lực tốt nhất vào một snapshot file cục bộ cụ thể.
• Các dạng trình bao bọc quản lý gói thông thường vẫn giải quyết thành một file cục bộ trực tiếp (ví dụ pnpm exec, pnpm node, npm exec, npx) được mở ra trước khi ràng buộc.
• Nếu OpenClaw không thể xác định chính xác một file cục bộ cụ thể cho một lệnh interpreter/runtime (ví dụ các script gói, các dạng eval, các chuỗi loader cụ thể runtime, hoặc các dạng đa file mơ hồ), thực thi được hỗ trợ phê duyệt bị từ chối thay vì tuyên bố bao phủ ngữ nghĩa mà nó không có.
• Đối với các quy trình đó, ưu tiên sandboxing, một ranh giới máy chủ riêng biệt, hoặc một danh sách cho phép tin cậy rõ ràng / quy trình đầy đủ nơi nhà vận hành chấp nhận các ngữ nghĩa runtime rộng hơn.

• lệnh + args
• cwd
• id agent
• đường dẫn thực thi đã giải quyết
• máy chủ + siêu dữ liệu chính sách

• Cho phép một lần → chạy ngay
• Luôn cho phép → thêm vào danh sách cho phép + chạy
• Từ chối → chặn

​

Chuyển Tiếp Phê Duyệt Đến Các Kênh Chat

{
  approvals: {
    exec: {
      enabled: true,
      mode: "session", // "session" | "targets" | "both"
      agentFilter: ["main"],
      sessionFilter: ["discord"], // substring hoặc regex
      targets: [
        { channel: "slack", to: "U12345678" },
        { channel: "telegram", to: "123456789" },
      ],
    },
  },
}

/approve <id> allow-once
/approve <id> allow-always
/approve <id> deny

​

Khách Hàng Phê Duyệt Chat Tích Hợp

• Discord: channels.discord.execApprovals.*
• Telegram: channels.telegram.execApprovals.*

• chỉ những người phê duyệt được cấu hình mới có thể phê duyệt hoặc từ chối
• người yêu cầu không cần phải là người phê duyệt
• khi phân phối kênh được bật, các yêu cầu phê duyệt bao gồm văn bản lệnh
• nếu không có giao diện người dùng vận hành hoặc khách hàng phê duyệt được cấu hình nào có thể chấp nhận yêu cầu, nhắc nhở sẽ quay lại askFallback

• Discord
• Telegram

​

Luồng IPC macOS

Gateway -> Node Service (WS)
                 |  IPC (UDS + token + HMAC + TTL)
                 v
             Mac App (UI + approvals + system.run)

• Chế độ socket Unix 0600, token được lưu trữ trong exec-approvals.json.
• Kiểm tra peer cùng UID.
• Thử thách/đáp ứng (nonce + token HMAC + hash yêu cầu) + TTL ngắn.

​

Sự Kiện Hệ Thống

• Exec running (chỉ khi lệnh vượt quá ngưỡng thông báo đang chạy)
• Exec finished
• Exec denied

​

Tác Động

• full rất mạnh mẽ; ưu tiên danh sách cho phép khi có thể.
• ask giữ bạn trong vòng lặp trong khi vẫn cho phép phê duyệt nhanh.
• Danh sách cho phép theo agent ngăn chặn các phê duyệt của một agent rò rỉ sang các agent khác.
• Phê duyệt chỉ áp dụng cho các yêu cầu thực thi trên máy chủ từ người gửi được ủy quyền. Người gửi không được ủy quyền không thể phát hành /exec.
• /exec security=full là một tiện ích cấp phiên cho các nhà vận hành được ủy quyền và bỏ qua phê duyệt theo thiết kế. Để chặn thực thi trên máy chủ, đặt bảo mật phê duyệt thành deny hoặc từ chối công cụ exec qua chính sách công cụ.

• Công cụ Exec
• Chế độ Nâng Cao
• Kỹ Năng