Files

hfshfg 1bf5402d34 fix(bootable+install): harden persistence script, setup-openclaw, install.sh + add SECURITY.md

- 3-create-persistence.ps1: chain dd && mkfs.ext4 with && (was ;, so dd
  failures still ran mkfs and produced bogus images); fix \wsl$\$wslDistro
  variable expansion ambiguity using \${wslDistro}; mirror docker-desktop
  branch with the same && chaining
- setup-openclaw.sh: guard mktemp failure; ensure partial node tarballs are
  cleaned via EXIT trap; tolerate hosts with no non-loopback NIC under
  pipefail; don't let test-installation.sh failure exit the post-install
- install.sh: add `set -o pipefail`; surface npm install failures (was
  hidden by `| tail -5`); JSON-escape user-provided API_KEY before writing
  to openclaw.json so keys with backslashes/quotes don't break the config
- Add SECURITY.md: private disclosure channel + scope

2026-05-01 15:45:32 +08:00

2.7 KiB

Raw Permalink Blame History

安全策略 / Security Policy

感谢你关注 U-Claw 的安全性。本文档说明如何向我们报告安全漏洞，以及我们当前支持的版本。

报告漏洞 / Reporting a Vulnerability

请不要在公开 issue 里发布安全漏洞细节。

如果你发现了 U-Claw 的安全问题，请通过以下任一渠道私下联系：

邮件：hefangsheng@u-claw.org（建议附 PoC、影响范围、复现步骤）
GitHub 私密漏洞报告：在 u-claw 仓库的 Security 标签页 → "Report a vulnerability"

我们会在 3 个工作日内 确认收到，并在 14 天内 给出初步评估。请允许我们在公开披露前修复问题。

报告内容建议

受影响的模块（portable / install / bootable / u-claw-app）
受影响的版本或 commit hash
触发条件、攻击面（本地 / 局域网 / 互联网）
复现步骤或 PoC 代码
你建议的缓解或修复方向

支持的版本 / Supported Versions

模块	版本	状态
`portable/`	当前 main	✅ 接受报告
`install/` (`install.sh` / `install.ps1`)	当前 main	✅ 接受报告
`bootable/` (Linux U 盘)	当前 main	✅ 接受报告
`u-claw-app/` Electron	当前 main	✅ 接受报告
历史 release tag	—	⚠️ 仅做严重等级评估，不一定回滚补丁

我们暂未发布稳定版本号，所有修复直接在 main 分支推送。

范围 / In-Scope vs Out-of-Scope

在范围内（请报告）

U-Claw 自身脚本中的命令注入、路径穿越、任意写入、代码执行
data/.openclaw/openclaw.json 配置加载/写入逻辑中的注入
启动脚本（Mac-Start.command / Windows-Start.bat / start.sh）在恶意目录名/环境变量下被劫持的可能
一键安装 (curl | bash / irm | iex) 链路上的 MITM 风险
Bootable USB 制作脚本生成的产物在 Linux Live 环境下的提权问题

不在范围内

上游依赖（Node.js / OpenClaw / Electron / Ventoy / Ubuntu）的漏洞 — 请直接报给上游项目；我们只跟踪并升级版本。
用户主动把自己的 API Key 写到公开仓库 / 截图泄露，不属于本项目缺陷。
物理接触 USB 后的所有攻击（含偷换 USB、键盘记录等），属于硬件安全场景。
在用户已经获得 admin/root 权限的情况下能做的进一步动作。

致谢 / Acknowledgements

发现并负责任披露安全问题的研究者，将在修复发布的 commit message 和 release notes 中署名感谢（除非你要求匿名）。

本策略借鉴了 GitHub 推荐的开源安全披露格式，未来会随项目成熟度更新。

2.7 KiB Raw Permalink Blame History Unescape Escape