技能介绍

解决什么问题

在基于 OpenClaw 的日常开发中，常见的退化路径是：密钥散落在仓库、脚本或记忆文件里，每次启动会话都被重复询问凭据，自动任务失败只留在日志里没人知道，关键状态也没有快照。结果是救火变常态，仓库越跑越脏。

本技能把「临时救火」改造成「长期稳定」，重点解决：

仓库与脚本中存在硬编码 token、appsecret、api key，以及 URL 内嵌凭据（https://user:token@...）。
会话启动时反复索要凭据，缺少单一来源。
记忆文件缺少每日快照，失败没有主动提醒。
流程不可复用，换人或换机器就要重讲一遍。

技能如何工作

核心思路是凭据集中化 + 自动化自检 + 失败可追溯。

Phase 1 仓库体检与风险盘点：检查 Git 状态、子模块、URL 内嵌凭据、硬编码密钥，并输出高/中/低风险清单。
Phase 2 凭据脱敏与代码修复：清理远程 URL 与明文密钥，业务代码改为读取环境变量，如前端 import.meta.env.*、Node process.env.*。
Phase 3 凭据集中化：凭据只放在 ~/.config/openclaw/secrets.env，~/.bashrc 仅做 source，并将文件权限收敛到 600。
Phase 4 自检与快照自动化：新增开机自检与每日快照脚本，通过 crontab 配置 @reboot 与固定时段任务。
Phase 5 失败主动提醒：自动任务失败时，把失败任务、时间戳、退出码、日志路径写入当天 memory/YYYY-MM-DD.md，不允许静默失败。
Phase 6 复盘沉淀：输出触发原因、执行链路、关键改动、风险变化、下次可复用入口，形成可复用的操作记录。
Phase 7 同步到 CNBLL：通过自带发布脚本推送到团队可复用仓库，便于直接安装或复制。

产物与适用边界

完成后通常会具备：secrets.env 单一来源、openclaw-secrets-check 凭据检查、openclaw-boot-check 开机自检、openclaw-daily-snapshot 每日快照、两条 crontab 任务、~/.openclaw/logs/*.log 日志与 ~/.openclaw/snapshots/YYYY-MM-DD/* 快照。

注意：本技能偏向 OpenClaw 相关仓库的治理与运维，不替代具体的密钥轮换流程；对必须人工处理的密钥，仍需人工执行轮换。对于涉及敏感凭据的仓库，建议先完成风险盘点，再按 Phase 顺序推进，避免一次性改动引入新的问题。