OpenClaw运行流程示例
OpenClaw 不是简单的“一个聊天机器人”，而是一套本地优先、围绕 Gateway 组织的个人 AI 助手运行平台。完整链路为：
把 AI 接到用户已有的工作入口里
用户从哪里把消息发给 OpenClaw，以及 OpenClaw 从哪里把结果回给用户。
主要入口包括：
| 入口类型 | 表现形式 | 核心能力 |
|---|---|---|
| IM 渠道 | 飞书、QQ：OpenClaw 渠道插件接入； 微信、企微：外部渠道插件接入。 |
聊天渠道：收消息/回消息； 企业能力通道：插件调用平台 API |
| Web 入口 | WebChat：聊天入口 Control UI：管理入口 |
WebChat：面向用户对话 Control UI：查看状态、配置、会话和节点管理 |
| CLI 入口 | 用于消息发送和系统管理， 包含 MCP、模型、记忆、Skills、Plugins、备份、doctor 健康检查等 CLI 管理功能 |
高权限管理入口，可用于配置 Gateway、管理模型/MCP/记忆/Skills/Plugins、执行备份，并通过 doctor 做健康检查和问题修复 |
| node 入口 | macOS app、iOS node、Android node | 提供语音、屏幕、摄像头等增强能力 |
消息和权限的中枢
把所有入口收到的消息统一收进来，决定交给哪个 agent、哪个会话、哪些工具，并负责认证、安全和运行状态。
稳定后台常驻，用户只需要正常使用入口
未知发送者默认不会直接被处理，而是需要批准后才进入正常使用。
Gateway 默认需要认证，常见认证方式包括令牌、密码或可信代理。
沙盒可以理解成给 agent 准备的“隔离工作间”：
Gateway 这个总控台仍在宿主机上运行，但命令执行、读写文件、修改代码、进程查看等工具动作，可以被安排到一个更受限制的环境里完成。
这样即使外部消息诱导 agent 做了危险操作，影响范围也被限制在沙盒里，而不是直接落到宿主机。
| col1 | col2 |
|---|---|
| 核心作用 | 用隔离环境承载 AI 的工具执行，降低误操作或恶意操作对真实系统的影响 |
| 隔离对象 | 不是整个 agent，而是 agent 调用工具时产生的操作，例如命令执行、进程操作、文件读取、文件写入、文件编辑、补丁应用等 |
| 实现方式 | 默认 Docker 容器，也支持 SSH、OpenShell 等后端 |
| 安全策略 | （1）工作空间以外：默认限制访问 除非显式配置额外挂载目录，否则沙盒内通常不能直接访问外部路径 |
| （2）工作空间内：按权限模式控制 Docker：（1）不把真实工作空间给沙盒看（2）给沙盒看，但只准看不准改（3）给沙盒看，也准改 SSH：第一次使用时，把本地工作空间 seed 到远程沙盒，远程改动不会自动同步回本地 OpenShell：（1）远端为准，同SSH（2）本地为准，执行前同步到远程沙河，执行后同步回本地 |
|
| 触发设置 | 由配置和会话类型决定 （1）不进沙盒（2）非主会话进沙盒（3）所有会话进沙盒 |
工具策略是 OpenClaw 的权限控制机制，用来决定 agent 能调用哪些工具。
工具策略通常需要和沙盒一起使用，才能形成更完整的安全控制。
| col1 | col2 |
|---|---|
| 核心作用 | 限制高风险工具，避免 agent 随意执行命令、读写文件或调用外部能力 |
| 控制对象 | 控制工具是否可用，例如 exec、process、read、write、edit等 |
| 配置方式 | 通过 allow/deny 配置工具白名单和黑名单；deny 优先级更高 |
| 典型风险 | 如果允许 exec/process，即使禁用了 write/edit，agent 仍可能通过命令或脚本写文件 |
模型看到的不是只有用户一句话，而是组合后的上下文，包括：用户输入 + 会话 + 工作区 + 记忆 + Skills + 工具清单
执行层解决的问题是：
agent 决定要做事以后，具体通过哪些工具、技能、插件、自动化能力去执行。
执行层包含：
Tools 是 agent 可调用的动作。
命令执行、文件写入、浏览器、node、定时任务都属于高风险能力。日常聊天入口不应默认拥有所有工具。
Skills 的作用是教 agent 怎么按流程做事。它不等于新工具，而是更像给 agent 的工作手册，告诉它遇到某类任务时应该按什么流程、用什么标准、遵守什么约束。
技能虽然主要是说明文件，但会影响 agent 如何使用工具。错误或恶意技能可能诱导 agent 做危险操作。第三方技能要先阅读，技能白名单应按 agent 设置。
Plugins：给 OpenClaw 增加新能力的扩展入口。比如企业微信这类非官方渠道接入，通常也要靠插件扩展；新的模型 provider、新工具、新媒体能力，也可以通过插件进入 OpenClaw。
插件可能引入新渠道、新工具、新 provider 或 hooks，等于把更多代码放进 OpenClaw 的执行体系。第三方插件必须审查来源、权限、配置项和是否需要密钥。
资源层是 OpenClaw 的底座，其中涉及模型、文件、记忆、认证资料和生态入口
资源层解决的问题是：
OpenClaw 底层依赖哪些模型、文件、记忆、技能包、插件包、认证资料和生态资源。
资源层包含：
资源层保存的是最敏感、最长期的数据。尤其是认证资料、会话记录、记忆文件和备份文件。
事前：谁能访问 Gateway、谁能触发 agent
事中：agent 被触发后，工具能力如何收口
事后：如何发现配置风险、如何追溯日志和会话
| 控制项 | 控制方法 |
|---|---|
| Gateway 访问 | （1）默认仅 localhost 访问 （2）支持身份认证 （3）官方功能不支持多个互不信任用户共享一个 Gateway |
| 微信/飞书/QQ单聊 | 先确认发送者身份，只有白名单或已配对用户的消息才进入 agent |
| 微信群/飞书群/QQ群 | 先看这个群是否被允许，再看发送者是否被允许，最后看有没有明确 @ 或唤醒机器人 |
| 插件 | 插件在 Gateway 进程内加载，官方建议只安装可信插件，并优先使用显式 plugin allowlist |
| 控制项 | 控制方法 |
|---|---|
| 环境操作 | 用沙盒降低文件和进程操作影响面 |
| 工具调用 | 只给 agent 完成任务所需工具 |
| 文件操作 | 文件操作尽量限制在当前工作空间 |
| 命令执行 | 宿主机或 node 命令执行要有白名单 |
事后审计可以分成四类：
（1）配置审计看安全边界
（2）操作审计看后台任务台账
（3）会话追溯还原上下文和原始记录
（4）沙盒追溯确认操作到底在哪个环境里执行
| 审计类型 | 命令 / 工具 | 作用 | 适用场景 |
|---|---|---|---|
| 配置安全审计 | openclaw security audit |
快速检查配置和安全边界风险 | 日常检查、部署前检查 |
fs.config.perms_world_readable |
(critical) | 配置文件 openclaw.json 的权限允许其他用户读取，可能暴露 token 和敏感设置 | |
gateway.http.no_auth |
(warn/critical) | Gateway 的 HTTP API 在 auth.mode="none" 时可被访问，没有身份验证 | |
gateway.tools_invoke_http.dangerous_allow |
(warn/critical) | 通过 HTTP API 重新启用了危险工具 | |
| 任务审计 | openclaw tasks list |
查看后台任务台账，了解哪些任务跑过 | 日常查看后台任务记录 |
openclaw tasks show <lookup> |
查看某个任务的详细记录，包括状态、时间、子会话、错误和结果摘要 | 追查某一次具体任务 | |
openclaw tasks audit |
检查任务台账异常 | 定期排查后台任务是否失联、失败或未清理 | |
stale_running |
(error) | 任务运行超过 30 分钟 | |
missing_cleanup |
(warn) | 任务已经结束，但没有清理时间戳 | |
inconsistent_timestamps |
(warn) | 时间线异常，比如“结束时间早于开始时间” | |
| 会话追溯 | sessions_history |
查看安全处理后的会话历史，理解 agent 的上下文和决策过程 | 常规会话追溯 |
| 查看 JSONL transcript 原始记录 | 查看原始完整会话记录 | sessions_history 不够时做深度追溯 |
|
| 沙盒追溯 | openclaw sandbox explain |
查看实际沙盒模式、工作区访问范围和工具策略 | 判断操作是在宿主机还是沙盒中执行 |
OpenClaw 的核心优势：可用、可控、可扩展
| 核心优势 | 具体形式 |
|---|---|
| 多消息入口 | 用户可以从聊天工具、网页、CLI 接入，由同一套 Gateway 统一承接。 |
| 执行逻辑（目标拆解、自主规划、自我反思与迭代） | Agent Runtime 负责理解目标、拆解步骤、规划执行路径，并根据结果继续调整。 |
| 执行手段（多类工具调用） | 通过 Tools、Skills、Plugins 调用文件、浏览器、网页、消息、媒体和定时任务等能力。 |
| 安全风险管控 | 从入口、Gateway、工具权限、插件、认证资料和记忆写入等环节控制风险边界。 |