系统更新器（sys-updater）

面向 Ubuntu 主机的综合性系统维护自动化工具，支持 apt、npm、brew 以及 OpenClaw 技能（skills）。

该技能的功能

sys-updater 是为运行 OpenClaw 的 Linux 主机设计的一套保守型维护流水线。 它将安全补丁更新与功能版本升级严格分离，保留可审计的状态文件，并每日生成人类可读的报告。

核心能力

• APT（Ubuntu）
  • 每日执行 apt-get update
  • 通过 unattended-upgrade 自动应用安全更新
  • 非安全类升级仅从显式指定的计划列表中执行
• NPM / PNPM / Brew
  • 检测过时的软件包
  • 将其纳入受控追踪状态
  • 自动评估软件包风险（缺陷/回归/CVE 相关信号）
  • 仅安装已批准或已列入计划的更新
• OpenClaw 技能（ClawHub）
  • 检查已安装技能并报告其更新状态
• 每日报告（莫斯科时间 09:00）
  • 当前系统健康状况/状态概览
  • 各包管理器对应的候选更新、已计划更新及被阻止更新
  • 明确标注“实际已安装”的条目（涵盖 apt/npm/pnpm/brew）

工作流程

每日任务（莫斯科时间 06:00）

run_6am:
├── apt: 更新索引、执行安全升级、模拟非安全升级、追踪待定非安全包
├── npm/brew: 检查过时包，并加入追踪列表
└── skills: 立即自动更新（不进入隔离期）

报告生成（莫斯科时间 09:00）

• 汇总所有包管理器的状态
• 列出次日计划执行的更新
• 列出被阻止的软件包及其原因

T+2 天（审查阶段）

• 针对处于追踪状态的软件包进行网络搜索，查找已知缺陷、回归问题等信息
• 根据调研结果，将软件包标记为“已计划”或“已阻止”

T+3 天（升级阶段）

• 执行已计划的 npm/brew 升级操作
• 发送完成确认报告

状态文件

• state/apt/last_run.json — 上次运行结果
• state/apt/tracked.json — 当前正在追踪的 APT 软件包列表
• state/apt/npm_tracked.json — NPM 软件包追踪列表
• state/apt/brew_tracked.json — Brew 软件包追踪列表
• state/logs/apt_maint.log — 日志文件（10 天轮转）

手动命令

# 执行日常维护（自动触发）
./scripts/apt_maint.py run_6am

# 生成报告
./scripts/apt_maint.py report_9am

# 仅检查 npm/brew 包状态
./scripts/pkg_maint.py check

# 审查软件包（T+2 天后执行）
./scripts/pkg_maint.py review

# 应用已计划的升级
./scripts/pkg_maint.py upgrade

# 仅更新 OpenClaw 技能
./scripts/pkg_maint.py skills

配置

环境变量：

• SYS_UPDATER_BASE_DIR — 基础目录（默认：~/clawd/sys-updater）
• SYS_UPDATER_STATE_DIR — 状态文件存放路径
• SYS_UPDATER_LOG_DIR — 日志文件存放路径

Cron 任务

需配置以下 4 个定时任务：

1. run_6am — 每日莫斯科时间 06:00（执行 apt 维护 + npm/brew 检查 + 自动更新 skills）
2. report_9am — 每日莫斯科时间 09:00（Telegram 报告）
3. review_2d — T+2 天莫斯科时间 09:00（网络检索缺陷信息）
4. upgrade_3d — T+3 天莫斯科时间 06:00（执行已计划的升级）

保守型设计理念

• 安全更新：通过 unattended-upgrade 自动应用
• 非安全更新：设置 2 天观察期，期间开展缺陷调研
• 用户控制权：可基于理由阻止任意软件包升级
• 安全性保障：任何 apt 升级前均先执行 dry-run 模拟

依赖要求

• Ubuntu 系统（含 apt）
• Node.js + npm（用于管理 npm 软件包）
• Homebrew（用于管理 brew 软件包）
• OpenClaw 及 clawhub CLI 工具
• 对特定 apt 命令具备 sudo 权限（详见下文）

Sudoers 配置

为实现无人值守运行，应仅授予运行用户对特定 apt 命令的免密 sudo 权限。切勿将用户添加至完整 sudoers 组。

创建文件 /etc/sudoers.d/sys-updater：

# 允许 sys-updater 用户无需密码执行 apt 维护命令
# 将 'username' 替换为实际用户名
username ALL=(root) NOPASSWD: /usr/bin/apt-get update
username ALL=(root) NOPASSWD: /usr/bin/apt-get -s upgrade
username ALL=(root) NOPASSWD: /usr/bin/unattended-upgrade -d

设置安全权限：

sudo chmod 440 /etc/sudoers.d/sys-updater
sudo visudo -c  # 验证语法有效性

所需命令说明

安全注意事项

• 仅允许上述 3 个具体命令
• 禁止使用无 -s 参数的 apt-get upgrade（仅允许模拟模式用于追踪）
• 禁止使用 apt-get dist-upgrade 或 apt-get autoremove
• 禁止通过 sudo 安装或卸载任意软件包
• NPM 和 brew 不需要 sudo 权限（以普通用户身份安装）