用途 该技能面向 OpenClaw 的构建与部署安全加固，目标是在 CI/CD 和运行时环境中加入可重复执行的安全校验，降低发布与运行阶段的风险。
主要能力
- CI/CD 安全校验：在制品晋级前执行依赖与锁文件漏洞扫描、镜像 OS/包漏洞扫描、源码与构建上下文密钥扫描、SBOM 生成与制品签名，并在校验失败时阻断部署。资料给出示例步骤顺序：npm ci、npm run build，随后用 trivy fs 扫描漏洞与密钥，用 trivy image 扫描镜像，用 syft 生成 SPDX JSON 格式 SBOM，用 cosign 对同一镜像摘要签名。需显式设置 --exit-code 使扫描失败成为阻断项，扫描、SBOM、签名与晋级应固定同一镜像摘要，签名密钥不得放入源码。
- 容器运行时加固：使用非 root 用户、尽可能启用只读根文件系统、移除全部 Linux 能力后仅加回必要项、启用 no-new-privileges、设置 CPU/内存限制、启用 Seccomp/AppArmor 等配置。Kubernetes 场景包括 runAsNonRoot、allowPrivilegeEscalation: false、readOnlyRootFilesystem、默认拒绝的网络策略加显式放行。
- 生产晋级门禁：要求对 CVE 例外进行安全签核、在部署阶段验证签名制品、检查预期与实时清单的漂移、仅从不可变标签或摘要部署，避免生产使用可变 latest 标签。
- 数据与会话面保护：按策略最小化提示/响应留存、日志入 SIEM 前脱敏密钥与 PII、加密持久卷与备份、多团队场景隔离租户/会话数据边界。
- 部署后验证：资料给出 kubectl 命令用于查看 Pod、验证服务账号最小权限、查看网络策略与日志，并检查 Pod 安全上下文、入站认证与限流、日志中无明文密钥。
- 回滚模式：冻结发布、撤销可疑令牌并轮换密钥、回滚到上次已签名的已知良好镜像摘要、重新执行部署后加固验证、保留时间线与制品用于取证。
使用方式 在授权的 CI 环境中按示例顺序加入扫描、SBOM、签名与阻断步骤；在容器与 Kubernetes 清单中应用上述安全默认值；在生产晋级前执行签名验证与漂移检查；部署后运行验证命令与冒烟检查。示例中的只读盘点命令形式为 which <tool> && <tool> --help | head -n 20。
适用场景 需要为 OpenClaw 构建与部署流程建立安全校验、容器运行时加固、供应链签名与 SBOM、生产发布门禁和部署后验证的团队。
限制 资料为文档式导入，未附带上游脚本与模板；相关命令不能单独构成完整流水线；Trivy 默认不回显失败，需显式设置退出码；破坏性步骤应先在非生产环境测试；所有操作须在授权范围内进行。