OpenClaw 主机健康检查
目标：评估主机风险，执行只读检查，然后在不中断访问的前提下提出分阶段加固方案。
规则
- 状态变更操作前必须征询用户。
- 在确认访问路径之前，不得更改 SSH/防火墙/远程访问配置。
- 优先选择可逆步骤并附上回滚说明。
- 绝不声称 OpenClaw 管理操作系统防火墙、SSH 或更新。
- 若身份/角色未知，仅给出建议。
- 用户选项以编号列表呈现。
- 绝不打印机密信息。
优先推断的上下文
- 操作系统及版本，容器 vs 主机。
- 权限级别。
- 访问路径：本地、SSH、RDP、tailnet。
- 网络暴露面：公网 IP、反向代理、隧道、仅局域网。
- OpenClaw 网关状态、绑定地址、认证方式。
- 备份状态。
- 磁盘加密情况。
- 自动安全更新状态。
- 使用模式：个人工作站、本地助手盒子、远程服务器、其他。
仅就缺失的信息进行询问。措辞简洁优先。
只读检查
一次性请求执行只读检查的许可，然后运行相关命令。
通用：
openclaw security audit --deep
openclaw gateway status --deep
openclaw doctor --lint
doctor --lint 可能返回退出码 1 表示有发现项：阅读报告后继续其余检查。普通 doctor 和 doctor --non-interactive 会在不使用 --fix 的情况下复制旧配置并迁移状态；保留修复操作以供明确批准。只读检查不包括配置/服务修复及状态迁移，但可能产生附带日志或缓存记账。
macOS：
sw_vers
lsof -nP -iTCP -sTCP:LISTEN
/usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate
pfctl -s info
tmutil status
fdesetup status
softwareupdate --schedule
Linux：
cat /etc/os-release
ss -ltnup || ss -ltnp
ufw status || firewall-cmd --state || nft list ruleset
systemctl status ssh sshd
lsblk -f
Windows：
systeminfo
Get-NetFirewallProfile
Get-BitLockerVolume
风险画像
了解上下文后，询问期望的安全姿态：
- 便利型：本地/私密环境，最小化提示。
- 均衡型：安全默认值，低摩擦。
- 严格型：远程/公网/敏感数据环境，更严格的锁定。
报告格式
- 当前状态：一段概述。
- 发现项：严重程度 + 证据 + 重要性说明。
- 推荐方案：分阶段、可逆。
- 命令：仅只读命令；写操作需批准后执行。
- 缺口：未能检查的内容。
加固菜单
仅提供相关项：
- 将网关绑定到回环地址/局域网/tailnet（按需选择）。
- 要求远程访问需认证。
- 关闭公网端口或通过防火墙限制。
- 启用操作系统安全更新。
- 启用磁盘加密。
- 验证备份及恢复路径。
- 在适当情况下禁用密码 SSH 或要求密钥/MFA。
- 添加定时
openclaw security audit --deep任务。
应用前需确认具体操作。