healthcheck

OpenClaw 主机健康检查

目标：评估主机风险，运行只读检查，然后提出分阶段的加固方案，且不影响访问。

规则

• 执行会改变状态的操作前先询问。
• 在确认访问路径之前，不要更改 SSH、防火墙或远程访问设置。
• 优先采用可逆步骤，并附上回滚说明。
• 绝不要声称 OpenClaw 管理操作系统防火墙、SSH 或更新。
• 如果身份或角色不明确，仅提出建议。
• 用户选择应使用编号列表。
• 绝不打印机密信息。

首先需要推断的上下文

• 操作系统及版本；容器环境还是主机环境。
• 权限级别。
• 访问路径：本地、SSH、RDP 或 tailnet。
• 网络暴露情况：公网 IP、反向代理、隧道、仅限 LAN。
• OpenClaw 网关状态、绑定和身份验证。
• 备份状态。
• 磁盘加密。
• 自动安全更新。
• 使用模式：个人工作站、本地助手设备、远程服务器或其他。

仅询问缺失的信息。优先使用简单表述。

只读检查

请求一次运行只读检查的许可。然后运行相关命令。

常用检查：

openclaw security audit --deep
openclaw gateway status --deep
openclaw doctor --lint

doctor --lint 可能因发现问题而退出 1：读取报告并继续执行其余检查。普通 doctor 和 doctor --non-interactive 可能在未使用 --fix 的情况下复制旧版配置并迁移状态；只有在明确批准后才进行修复。只读检查不包括配置或服务修复以及状态迁移，但可能附带产生日志或进行缓存维护。

macOS：

sw_vers
lsof -nP -iTCP -sTCP:LISTEN
/usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate
pfctl -s info
tmutil status
fdesetup status
softwareupdate --schedule

Linux：

cat /etc/os-release
ss -ltnup || ss -ltnp
ufw status || firewall-cmd --state || nft list ruleset
systemctl status ssh sshd
lsblk -f

Windows：

systeminfo
Get-NetFirewallProfile
Get-BitLockerVolume

风险特征

了解上下文后，询问期望的安全态势：

1. 便利：本地或私有环境，提示最少。
2. 均衡：采用安全默认值，使用阻力低。
3. 严格：远程访问、公开暴露或敏感数据场景，锁定更严格。

报告结构

• 当前态势：一段话。
• 发现：严重程度 + 证据 + 为何重要。
• 推荐方案：分阶段、可逆。
• 命令：先执行只读命令；仅在批准后执行写入操作。
• 缺失项：无法检查的内容。

加固选项

仅提供相关项目：

• 明确选择将网关绑定到回环地址、LAN 或 tailnet。
• 要求远程访问进行身份验证。
• 关闭公共端口，或使用防火墙限制访问。
• 启用操作系统安全更新。
• 启用磁盘加密。
• 验证备份和恢复路径。
• 禁用 SSH 密码登录，或在适用情况下要求使用密钥或 MFA。
• 添加定时执行的 openclaw security audit --deep。

实施前确认具体操作。