Skillppx logo

api-key-auditor

自动扫描技能文件中的硬编码密钥，并提示或自动迁移至配置文件，提升安全性。

已扫描
适合谁
OpenClaw 平台开发者、关注代码安全的自动化运维人员
不适合谁
不熟悉 OpenClaw 运行环境的初学者、无权限访问 ~/.openclaw/workspace/skills 目录的用户
国内可用性
需网络配置。可能需要网络配置或第三方服务可访问。
安装难度
新手友好（★☆☆）。基于终端操作、依赖、API Key 和本地环境要求的初步判断。

安装与下载

openclaw skills install @lemongggit/api-key-auditor
下载官方 ZIP

Skill 说明

命令、参数、文件名以原文为准

API Key 审计器

扫描 skills 目录下的硬编码凭证，并输出集成情况报告。

运行方式

# 仅审计（只读，不修改任何文件）
python3 ~/.openclaw/workspace/skills/api-key-auditor/scripts/audit.py

# 自动迁移：将未集成的 key 写入 openclaw.json
python3 ~/.openclaw/workspace/skills/api-key-auditor/scripts/audit.py --fix

参数说明

参数默认值说明
--skills-dir~/.openclaw/workspace/skills扫描目录
--openclaw-json~/.openclaw/openclaw.json目标配置文件
--fix否自动写入未集成的 key 到 env.vars

报告输出含义

状态标记含义
✅ 已集成到 openclaw.json凭证已注册为环境变量，安全
🔧 mcporter 管理（无需迁移）该 key 在 ~/.mcporter/mcporter.json 中，由 mcporter 统一管理 MCP server 连接，不需要抽取
⚠️ 未集成凭证硬编码在文件中，建议迁移

迁移工作流

  1. 运行审计，查看 ⚠️ 未集成项
  2. 运行 --fix，脚本自动将 key 写入 openclaw.json env.vars，并给出需要手动替换的文件位置
  3. 在对应文件中将硬编码值替换为环境变量引用：

- Python：os.environ.get('VAR_NAME')

- Shell：$VAR_NAME 或 ${VAR_NAME}

  1. 重启 OpenClaw 使环境变量生效（openclaw gateway restart）
  2. 再次运行审计确认 ✅

设计说明

  • mcporter key 不抽取：~/.mcporter/mcporter.json 里的 MCP server URL 中的 ?key= 参数，已由 mcporter 统一管理，不属于需要抽取的硬编码凭证
  • 占位符自动过滤：your-api-key-here、REPLACE_ME 等示例值不会误报
  • 只读模式安全：不加 --fix 时，脚本不修改任何文件
L
@lemongggit

已收录 1 个 Skill

相关推荐