flaw0 是面向 OpenClaw 生态的安全与漏洞扫描器，用于检查源代码、插件、技能以及 Node.js 依赖中的潜在安全缺陷，目标是达到 flaw 0（未检测到缺陷）。
用途与能力：可检测 12 类以上代码漏洞，包括命令注入、代码注入、SQL 注入、XSS、路径遍历、硬编码密钥、弱加密、不安全随机数、不安全反序列化、缺失认证等；依赖方面可识别已知 CVE、过期包、恶意包和重复依赖。结果以 flaw 评分呈现，分数越低越好，按严重程度加权计算。
使用方式：通过 ClawHub 安装 npx clawhub@latest install flaw0，或全局安装 npm install -g flaw0。常用命令包括 flaw0 scan 扫描代码、flaw0 deps 检查依赖、flaw0 audit 执行完整审计，可用 --target 指定 core、plugins、skills 或 all，用 --model 选择 AI 模型，用 --json 或 --output 输出报告。运行 flaw0 init 生成 .flaw0rc.json 配置，可设置 failOn、ignore、exclude、model、maxFlawScore 等。支持在 GitHub Actions 和 pre-commit 钩子中集成，也可通过 require('flaw0') 以编程方式调用。
适用场景：安装技能前审查、开发过程中扫描、提交前审计、检查 OpenClaw 安装组件以及依赖安全检查。
限制：需要 Node.js 14+ 和 Anthropic API 密钥（export ANTHROPIC_API_KEY='your-api-key-here'），依赖 npm 进行依赖检查；AI 分析可能受 API 速率限制影响。资料未提供价格、平台覆盖范围及实际效果数据。