OpenClaw 稳定化工作流

你在对抗什么

OpenClaw 这类长期运行的 Agent 环境，很容易掉进「每次会话重新问密钥、仓库里散落 token、任务挂了只在日志里沉默」的循环。救火脚本越堆越多，却缺少单一凭据来源、可审计日志和跨会话可复用的执行链路。

技能如何落地

本工作流把稳定化拆成七个阶段，目标是把临时操作沉淀成可发布、可一键复用的流程：

1. 仓库体检：Git 脏状态、子模块、URL 内嵌凭据（https://user:token@...）、硬编码密钥，以及子项目能否构建，输出高/中/低风险清单。
2. 脱敏与改码：清理远程 URL 与明文密钥，业务侧改为读环境变量（前端 import.meta.env.*，Node process.env.*）。
3. 凭据集中：仅使用 ~/.config/openclaw/secrets.env，~/.bashrc 只做 source，文件权限 600。
4. 自动化：openclaw-boot-check、openclaw-daily-snapshot 与 openclaw-secrets-check，配合 crontab（@reboot + 每日定时，如 09:15），产出 ~/.openclaw/logs 与 ~/.openclaw/snapshots/YYYY-MM-DD/*。
5. 失败必提醒：自动任务失败时写入当天 memory/YYYY-MM-DD.md，含任务名、时间戳、退出码、日志路径，禁止只写日志不告警。
6. 复盘与同步：记录触发原因、改动与剩余风险，并可推送到 CNBLL 供团队复用。

配套还有可直接复用的提示词台账（体检、安全治理、免打扰凭据、防失忆、失败提醒、复盘成 Skill）和质量检查清单。

适用边界

• 需要人工轮换的密钥不会自动替你换，清单里会标出必须人工处理项。
• 路径与脚本名按 OpenClaw 约定（~/.config/openclaw、~/.local/bin）；若你的目录布局不同，要在 Phase 3/4 里对齐后再挂 crontab。
• Phase 7 面向 CNBLL 发布；纯本地自用可只做到 Phase 6。