用途：审计 OpenClaw 配置目录（~/.openclaw/）中的凭据安全。OpenClaw 默认以明文 YAML 或 JSON 保存 API 密钥、频道令牌和提供商凭据，任何本机进程都可读取。该工具扫描这些文件，标记暴露风险并给出迁移建议。
主要检查项与严重级别：PLAINTEXT_API_KEY（CRITICAL，匹配 sk-、AKIA、ghp_ 等密钥模式）；PLAINTEXT_TOKEN（HIGH，OAuth 令牌、bearer 令牌、密码）；WORLD_READABLE（HIGH，配置文件权限为 644/755，所有用户可读）；NO_GITIGNORE（MEDIUM，配置目录未加入 .gitignore，存在提交密钥风险）；ENV_AVAILABLE（INFO，密钥可迁移至环境变量）。
使用方式：python3 audit.py --scan 执行完整审计；--scan --critical-only 仅显示 CRITICAL 发现；--fix-permissions 对配置文件执行 chmod 600；--suggest-env 输出环境变量迁移指引；--status 查看上次审计摘要；--format json 以 JSON 输出。建议流程为先跑审计，优先处理 CRITICAL 项，将密钥迁移到环境变量（如 export OPENCLAW_API_KEY="..."），再修复文件权限并确认 gitignore 覆盖。触发时机包括每周日 9 点 cron、初始设置后、部署到共享基础设施前，以及新增 API 密钥后。
状态：审计结果与历史保存在 ~/.openclaw/skill-state/config-encryption-auditor/state.yaml，字段含 last_audit_at、findings、files_scanned、audit_history。
限制：不改变 OpenClaw 的配置格式，仅做审计与建议；具体平台支持、收费与效果暂未提供。