必须首次启动时精准授权目标子目录以建立白名单边界，严禁选取父级路径；误授后需通过claw设置删除宽泛授权并重新添加最小必要路径；启用本地沙箱执行模式并关闭云端缓存；高级用户可编辑config.yaml配置allowed_paths等字段实现精细控制。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
要在本地运行AionClaw时严格限制其文件访问范围，防止它读取或修改系统盘、用户根目录、敏感配置文件等非授权路径，必须绕过默认的宽泛权限继承机制，主动建立白名单边界。
首次启动时精准授权目标目录
这是唯一一次能从源头切断越界访问的机会——AionClaw在首次登录后强制弹出“添加文件夹”窗口，所有未在此窗口中手动勾选的路径，后续将完全不可见、不可读写。
1、使用微信扫码完成登录，等待系统级文件夹授权弹窗自动出现；
2、点击“添加文件夹”，在系统原生选择器中【仅定位并选中你明确允许操作的子目录】，例如：D:\项目合同、C:\Users\Alice\Desktop\待归档；
3、每次只能单选一个路径，若需多个目录，重复点击“添加文件夹”按钮逐个添加；
4、【严禁选取父级路径，如 D:\、C:\Users\Alice\Documents 或桌面根目录】，否则AionClaw将获得该路径下全部子孙目录的隐式访问权；
5、确认后立即生效，无需重启，AionClaw将彻底“失明”于白名单之外的所有磁盘与文件夹。
通过Claw设置动态剔除冗余授权
如果之前误授过宽泛路径（比如整个D盘或“我的文档”），必须立刻清理，否则白名单形同虚设。
方法一：进入权限回收流程
点击右上角头像 → “Claw设置” → 左侧导航栏“文件夹授权” → 在已授权列表中，逐个找到宽泛路径（如 C:\Users\Alice\Documents、D:\）→ 点击其右侧垃圾桶图标 → 确认删除。
方法二：二次加固验证
清理完成后，点击页面上方“+ 添加文件夹”按钮，【再次仅添加经业务确认的、粒度精确的目标子目录】，确保最终授权集合严格收敛于最小必要集。
启用本地沙箱执行模式
该模式强制所有文件解析、内容生成、格式转换均在内存中完成，不落盘、不推测、不跨目录，是处理含身份证号、合同金额等高敏信息时的必选项。
进入“Claw设置” → “安全与隐私”页签 → 开启“本地沙箱执行模式” → 同时关闭“云端缓存”与“自动同步”开关。
这一步会禁用所有临时文件写入行为，意味着AionClaw无法生成中间产物，也无法通过缓存文件间接触达未授权路径——但相应地，某些依赖临时文件的插件功能可能受限，需按实际任务测试启用。
配置工作区白名单（高级控制）
适用于有技术基础的用户，通过直接编辑配置文件实现更精细的路径与动作控制。
第一步：打开AionClaw安装目录下的 config.yaml 文件；
第二步：在 security: 区块下添加或修改以下字段：sandbox_enabled: trueallowed_paths: ["/Users/Alice/Projects", "/tmp/aionclaw_temp"]blocked_actions: ["delete", "chmod", "rename"]；
第三步：保存文件 → 重启AionClaw服务；
注意：路径必须为绝对路径，且 /tmp/aionclaw_temp 需提前创建并赋予读写权限，否则任务因无法写入临时文件而失败。
