openclaw的tools配置

核心配置项详解

如何有效管理AI助手的工具使用权限？以下核心配置项正是您专属的“权限控制中心”。它精确决定了助手的功能边界、操作范围，以及确保任务执行的安全性。

"tools": {
  "profile": "coding",
  "allow": ["read", "write", "exec", "message"],
  "deny": ["rm", "format"],
  "exec": {
    "enabled": true,
    "allowedCommands": ["mkdir", "echo", "cat", "ls", "git", "npm"],
    "allowShell": false,
    "workingDirectory": "/Users/yangwen/.openclaw/workspace",
    "timeout": 30
  },
  "approval": {
    "mode": "auto",
    "highRiskCommands": ["rm", "dd", "shutdown"]
  }
}

1. profile 工具集预设

这项配置如同一个场景切换器，帮助您根据不同工作需求，一键启用预设的工具权限组合，实现快速部署。

可选配置值：coding / general / full / custom

主要功能：为常用工作场景预置了基础工具包，大幅简化初始配置流程。

• coding：专为软件开发环境优化。默认开放文件读写、代码执行、Git版本控制及包管理器操作等开发者核心工具链，实现即配即用。
• general：适配通用办公与内容处理。侧重于消息通讯、文档编辑、任务管理等协作型工具权限。
• full：授予所有工具的全量访问权限。功能强大但伴随较高操作风险，建议仅在隔离的测试或沙箱环境中谨慎启用。
• custom：启用完全自定义模式。选择此项后，系统将忽略预设配置，所有权限均由后续的allow（允许）和deny（禁止）列表精确控制，实现高度自主的权限管理。

2. allow 工具白名单

这是实现精细化权限管控的核心策略之一。

此配置项为一个数组，用于明确列举允许AI助手调用的具体工具名称。关键之处在于，其优先级高于profile预设。这意味着即使您选择了coding等预设，只要在allow列表中额外添加了工具，这些工具也会获得授权。

示例：["read", "write", "exec", "feishu_doc"]。此配置表明，在预设权限基础上，特别授予助手使用飞书文档工具的能力，实现灵活的功能扩展。

3. deny 工具黑名单

作为白名单的补充，这是保障系统安全的“终极防线”。

同样以数组形式定义，用于明确禁止特定工具的使用。该配置拥有最高优先级，这是一条不可逾越的规则：无论某个工具是通过profile预设启用，还是被列入allow白名单，只要其名称出现在deny黑名单中，都将被无条件禁用。

例如：["rm", "format", "exec"]。此配置严格禁止了文件删除、磁盘格式化以及命令行执行等高危操作，从源头上规避潜在风险。

exec 命令执行工具专属配置

命令执行（exec）是功能最强、风险也相对较高的工具类别。因此，系统为其提供了一套独立且细致的配置选项，以确保操作的安全与可控。

approval 工具审批配置

这套配置帮助您在自动化效率与操作安全之间找到最佳平衡点，通过审批流程介入关键操作。

常用配置方案示例

了解理论后，让我们通过几个实战配置方案，帮助您快速上手并优化AI助手的权限设置。

代码开发场景推荐配置

此方案专为软件开发设计，在提供充分的工程操作能力的同时，通过命令白名单机制有效管控风险。

"tools": {
  "profile": "coding",
  "exec": {
    "enabled": true,
    "allowedCommands": ["mkdir", "echo", "cat", "ls", "git", "npm", "python", "java", "pip"],
    "allowShell": false,
    "timeout": 60
  }
}

高安全需求场景配置

适用于处理敏感数据或辅助生产环境运维等对安全性要求极高的场景。此配置大幅收紧权限，并为关键操作增设人工确认环节。

"tools": {
  "profile": "general",
  "deny": ["exec", "rm", "sudo"],
  "approval": {
    "mode": "high-risk-only"
  }
}

重要提示：所有配置修改完成后，必须执行 openclaw gateway restart 命令以重启网关服务，新的权限配置方能生效。