OpenClaw 主機健康檢查
目標：評估主機風險，執行唯讀檢查，然後提出階段性強化方案，避免中斷存取。
規則
- 在執行有狀態變更的操作前，必須先詢問。
- 在確認存取路徑之前，不得變更 SSH/防火牆/遠端存取。
- 優先選擇可逆的步驟並附上回滾說明。
- 絕不聲稱 OpenClaw 管理 OS 防火牆、SSH 或更新。
- 若身份/角色未知，僅給予建議。
- 使用者選擇：使用編號列表。
- 絕不列印機密。
需要先推斷的背景資訊
- 作業系統/版本、容器 vs 主機。
- 權限層級。
- 存取路徑：本機、SSH、RDP、Tailnet。
- 網路暴露程度：公開 IP、反向代理、隧道、僅 LAN。
- OpenClaw 閘道狀態、綁定、認證。
- 備份狀態。
- 磁碟加密。
- 自動安全性更新。
- 使用模式：個人工作站、本地輔助設備、遠端伺服器、其他。
僅詢問缺少的事實。優先使用簡單的措辭。
唯讀檢查
一次詢問執行唯讀檢查的權限，然後執行相關指令。
常見：
openclaw security audit --deep
openclaw gateway status --deep
openclaw doctor --lint
doctor --lint 可能以狀態碼 1 退出並顯示發現問題：請閱讀報告，然後繼續其餘檢查。一般的 doctor 和 doctor --non-interactive 可以在未使用 --fix 的情況下複製舊版設定檔並遷移狀態；保留修復操作等待明確批准。唯讀檢查不包括設定檔/服務修復和狀態遷移，但可能產生附帶的日誌或快取記錄。
macOS：
sw_vers
lsof -nP -iTCP -sTCP:LISTEN
/usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate
pfctl -s info
tmutil status
fdesetup status
softwareupdate --schedule
Linux：
cat /etc/os-release
ss -ltnup || ss -ltnp
ufw status || firewall-cmd --state || nft list ruleset
systemctl status ssh sshd
lsblk -f
Windows：
systeminfo
Get-NetFirewallProfile
Get-BitLockerVolume
風險設定檔
在掌握背景資訊後，詢問期望的姿態：
- 便利：本機/私有環境，最少提示。
- 平衡：安全預設，低摩擦。
- 嚴格：遠端/公開/敏感資料，更嚴格鎖定。
報告格式
- 當前姿態：一段話。
- 發現問題：嚴重程度 + 證據 + 重要性說明。
- 建議方案：分階段、可逆。
- 指令：先唯讀；寫入操作需先獲得批准。
- 遺漏：無法檢查的項目。
強化選單
僅提供相關項目：
- 將閘道綁定至 loopback/LAN/tailnet（視需求選擇）。
- 要求遠端存取需經過身份驗證。
- 關閉公開埠或通過防火牆限制。
- 啟用作業系統安全性更新。
- 啟用磁碟加密。
- 驗證備份與還原路徑。
- 在適當情況下禁用密碼 SSH 或要求使用金鑰/MFA。
- 新增排程
openclaw security audit --deep。
在套用前，先確認即將執行的確切動作。