OpenClaw 24h 更新快报（2026-04-23）：Claude CLI权限、Gateway配置加固、Webchat图片持久化
过去24小时，OpenClaw 项目共合并了超过20个 PR，涵盖安全加固、渠道集成、Agent 运行时等多个模块。其中三个变化值得重点关注：Claude CLI 的权限模型与 OpenClaw exec 策略对齐，Gateway 运行时配置编辑从黑名单改为白名单拒绝模式，Webchat 图片历史终于实现持久化托管。
安全与稳定性
PR #70800 修复了 Claude CLI 权限默认值与 OpenClaw exec 策略漂移的问题。此前 Claude CLI 在 YOLO 模式下不会自动注入 --permission-mode bypassPermissions，与 Codex/harness 的安全默认行为不一致。此次修改后，Claude CLI 仅在 tools.exec.security=full 且 tools.exec.ask=off 时才注入 bypass 参数，同时保留显式 raw 参数的覆盖能力。
PR #70726 将 Gateway 运行时配置编辑从黑名单模式切换为白名单拒绝模式。此前 gateway config.apply 依赖手动维护的黑名单来保护敏感配置路径，存在遗漏风险。现在改为 fail-closed 白名单，仅允许 prompt/model/mention-gating 等明确安全的路径由 Agent 动态修改，gateway.remote.url、tools.allow、browser.executablePath 等敏感配置一律拒绝。
PR #70718 修复了插件 setup 模块加载时将 process.cwd() 作为可信仓库根的风险。之前 resolveSetupApiPath() 可能从当前工作区加载攻击者控制的 extensions/<plugin>/setup-api.* 文件，现已移除 cwd 回退逻辑，仅允许插件根目录和规范的打包源码根作为查找路径。
Webchat 与控制台
PR #70719 解决了 Control UI 聊天历史中生成的图片在刷新后消失的问题。图片数据原本以 raw inline 形式存储，chat.history 的安全清理机制会将其剥离。现在 Assistant 图片回复会复制到 Gateway 托管媒体存储，以认证媒体 URL 形式持久化到 Transcript 中，通过 /api/chat/media/outgoing/.../full 路由提供，Control UI 通过认证的 blob 请求渲染，彻底告别刷新丢图的问题。
PR #70716 将 rejectWebchatSessionMutation 保护扩展到 sessions.compact 和 sessions.compaction.restore 两个 Handler，补上了此前仅覆盖 sessions.patch 和 sessions.delete 的边界缺口，Webchat UI 客户端现在无法通过会话压缩操作修改历史。
渠道与集成安全
PR #70711 修复 Discord 频道策略授权器可绕过显式用户/角色白名单的问题。当配置了渠道级别的允许列表但未设置 commands.allowFrom 时，原有的 policyAuthorizer 会授权该频道所有成员，导致显式的 Owner/Member 限制被覆盖。修改为使用 policyFallbackAuthorizer，仅在无 Owner 允许列表且无渠道/用户/角色限制时才视为已配置。
PR #70706 为 QQ 机器人 /bot-approve 命令添加了身份验证要求，防止未认证用户通过该命令修改安全相关的执行审批设置。
Agent 与 CLI 运行时
PR #70786 全面加固了 CLI Hook 转录本加载机制：拒绝符号链接遍历、尊重自定义 session.store 根目录、在仅 llm_output 活跃时跳过转录本解析、不再为空输出发送 llm_output 事件。同时新增 plugins.entries.<id>.hooks.allowConversationAccess 作为非打包插件注册对话 Hook 的显式 opt-in，默认关闭以防止未经授权的对话数据访问。
PR #70710 修复了图片生成工具忽略参数中的换行符可被用来注入 MEDIA: token 的问题。在警告输出中直接拼接用户控制的 size 字符串时，换行符 + MEDIA:/etc/passwd 可能被解析为可信本地媒体路径。现已添加 sanitizeInlineWarningValue 对反斜杠和控制字符（\r、\n、\t）进行转义。
本批次更新整体基调为"安全收紧"：Agent 可写的运行时配置边界被重新定义，非打包插件的对话数据访问默认关闭，渠道级别的权限绕过漏洞被修复。部署了 OpenClaw 的团队宜关注 Agent 配置文件写入行为以及第三方插件的 Hook 配置是否合规。
评论