OpenClaw Marshal

为您的 workspace 定义安全策略并审计合规性。将已安装的技能与命令、网络及数据处理规则进行比对，生成符合审计要求的合规报告。

为何这很重要

Agent workspace 会持续积累执行命令、访问网络及处理数据的技能。若未明确定义安全策略，则无法判断已安装技能是否满足组织的安全要求，也无法确认 workspace 本身是否符合基本的安全卫生标准。

本技能支持您一次性定义策略，并对所有内容进行统一审计。

命令

初始化策略

创建默认安全策略文件（.marshal-policy.json），内含合理默认配置。

python3 {baseDir}/scripts/marshal.py policy --init --workspace /path/to/workspace

显示当前策略

输出当前生效的安全策略内容。

python3 {baseDir}/scripts/marshal.py policy --show --workspace /path/to/workspace

策略概览

快速查看已加载策略中的各项规则。

python3 {baseDir}/scripts/marshal.py policy --workspace /path/to/workspace

完整合规性审计

基于当前生效策略，对所有已安装技能及 workspace 配置执行全面审计，输出合规得分、违规项及改进建议。

python3 {baseDir}/scripts/marshal.py audit --workspace /path/to/workspace

检查指定技能

针对单个技能执行策略检查，逐条报告各规则的通过/失败状态。

python3 {baseDir}/scripts/marshal.py check openclaw-warden --workspace /path/to/workspace

生成合规报告

生成格式化、可直接复制粘贴的合规报告，适用于审计文档归档。

python3 {baseDir}/scripts/marshal.py report --workspace /path/to/workspace

快速状态查询

单行摘要：策略是否已加载、当前合规得分、严重违规项数量。

python3 {baseDir}/scripts/marshal.py status --workspace /path/to/workspace

Workspace 自动检测

若未指定 --workspace 参数，脚本将按以下顺序尝试定位 workspace：

1. 读取环境变量 OPENCLAW_WORKSPACE
2. 检查当前目录下是否存在 AGENTS.md 文件（如存在则使用当前目录）
3. 默认路径：~/.openclaw/workspace

检查范围

策略文件格式

.marshal-policy.json 文件定义全部策略规则：

• commands.allow — 允许运行的二进制程序列表
• commands.block — 明确禁止的命令模式
• commands.review — 需人工复核后方可执行的命令
• network.allow_domains — 允许访问的网络域名列表
• network.block_domains — 明确禁止访问的域名列表
• network.block_patterns — 使用通配符的域名屏蔽规则（例如 *.tk）
• data_handling.pii_scan — 是否强制启用 PII 扫描
• data_handling.secret_scan — 是否强制启用密钥扫描
• workspace.require_gitignore — 是否要求存在 .gitignore
• workspace.require_audit_trail — 是否要求启用 ledger 审计日志
• workspace.require_skill_signing — 是否要求启用 signet 技能签名

退出码说明

• 0 — 合规，无任何问题
• 1 — 需人工复核（存在中/高风险发现项）
• 2 — 检测到严重违规项

无外部依赖

仅依赖 Python 标准库，无需 pip install，不发起任何网络请求，全部逻辑本地执行。

跨平台兼容

支持 OpenClaw、Claude Code、Cursor，以及所有遵循 Agent Skills 规范的工具。