← 返回能力图谱

🛡️ 安全审计 (sec-audit)

对 OpenClaw 部署进行只读安全审计，检测环境泄露、认证配置、恶意 Skill 等已知风险。

⚠️ 为什么叫"保命必装"

Skill 拥有很高的系统权限，可能读取你的密钥、访问你的文件、甚至执行系统命令。sec-audit 是"防止龙虾变黑客"的最后一道防线。

🔍 审计范围

凭据泄露扫描 - 检测 .env、配置文件中的 API keys、token、密码
认证配置审计 - 检查 Gateway 配置、权限设置是否合理
恶意 Skill 识别 - 检测已安装 skill 中的可疑行为模式
已知漏洞检查 - 对照 CVE 数据库检查组件版本

📊 风险等级

等级	说明	示例
🔴 Critical	可能导致完全控制或数据泄露	硬编码密码、RCE漏洞
🟠 High	可能读取敏感数据或提升权限	过度权限、密钥泄露
🟡 Medium	有限的数据访问或欺骗风险	XSS、日志中的PII
🟢 Low	影响较小，需要特定条件	详细错误信息

⚡ 使用方法

完整审计：
运行 sec-audit 完整扫描

特定范围审计：
只检查凭据泄露: sec-audit --scope credentials
只检查 skill 安全: sec-audit --scope skills

📝 注意事项

✅ 只读操作 - sec-audit 不会修改任何文件或配置
✅ 本地执行 - 所有检查都在本地完成，不会上传数据
✅ 定期运行 - 建议每周或每次安装新 skill 后运行