Инструмент выполнения команд

​

Параметры

• host принимает только auto, sandbox, gateway или node. Это не средство выбора имени хоста; значения, похожие на имена хостов, отклоняются до запуска команды.
• Значение host=node для отдельного вызова разрешено из auto; значение host=gateway для отдельного вызова разрешено только при отсутствии активной среды выполнения песочницы.
• Без дополнительной конфигурации host=auto по-прежнему «просто работает»: при отсутствии песочницы оно разрешается в gateway; при активной песочнице остаётся в ней.
• elevated обеспечивает выход из песочницы в настроенный путь хоста: по умолчанию gateway или node, когда tools.exec.host=node (либо значение сеанса по умолчанию — host=node). Это доступно только тогда, когда для текущего сеанса/провайдера включён повышенный доступ.
• Разрешения gateway/node управляются файлом разрешений хоста.
• node требует сопряжённого Node (приложения-компаньона или безголового хоста Node). Если доступно несколько Node, задайте exec.node или tools.exec.node, чтобы выбрать один из них.
• exec host=node — единственный путь выполнения команд оболочки для Node; устаревшая обёртка nodes.run удалена.
• На хостах, отличных от Windows, выполнение использует SHELL, если он задан; если SHELL имеет значение fish, предпочтение отдаётся bash (или sh) из PATH, чтобы избежать несовместимых с fish конструкций bash, а если ни один из них не существует, используется SHELL.
• На хостах Windows выполнение предпочитает обнаружение PowerShell 7 (pwsh) (Program Files, затем ProgramW6432, затем PATH), после чего использует Windows PowerShell 5.1 как резервный вариант.
• На хостах Gateway, отличных от Windows, команды выполнения bash и zsh используют снимок среды запуска. OpenClaw сохраняет доступные для подключения псевдонимы/функции и небольшой безопасный набор переменных окружения из файлов запуска оболочки в $OPENCLAW_STATE_DIR/cache/shell-snapshots/, а затем подключает этот снимок перед каждой командой выполнения. Переменные, похожие на секреты, исключаются; выполнение в песочнице и на Node этот снимок не использует. Чтобы отключить этот путь снимка, задайте OPENCLAW_EXEC_SHELL_SNAPSHOT=0 в окружении процесса Gateway.
• Выполнение на хосте (gateway/node) отклоняет env.PATH и переопределения загрузчика (LD_*/DYLD_*), чтобы предотвратить подмену исполняемых файлов или внедрение кода.
• OpenClaw задаёт OPENCLAW_SHELL=exec в окружении запускаемой команды (включая выполнение в PTY и песочнице), чтобы правила оболочки/профиля могли определять контекст инструмента выполнения.
• Для запусков, инициированных каналом, OpenClaw также предоставляет в OPENCLAW_CHANNEL_CONTEXT ограниченную полезную нагрузку JSON с идентификационными данными отправителя/чата, если канал передал эти идентификаторы.
• exec не может выполнять команды оболочки openclaw channels login или /approve: openclaw channels login — интерактивный процесс аутентификации канала, а /approve должен проходить через обработчик команд подтверждения, а не через оболочку. Выполняйте вход в канал в терминале на хосте Gateway или используйте инструмент агента для входа в конкретный канал, если он существует (например, whatsapp_login).
• Важно: песочница по умолчанию отключена. Если песочница отключена, неявное значение host=auto разрешается в gateway. Явное значение host=sandbox по-прежнему приводит к безопасному отказу вместо неявного выполнения на хосте Gateway. Включите песочницу или используйте host=gateway с разрешениями.
• Предварительные проверки скриптов (на распространённые ошибки синтаксиса оболочки Python/Node) проверяют только файлы внутри эффективной границы workdir. Если путь скрипта разрешается за пределами workdir, предварительная проверка этого файла пропускается. Предварительная проверка также полностью пропускается, когда host=gateway, а эффективная политика — security=full с ask=off.
• Для длительной работы, начинающейся сейчас, запустите её один раз и полагайтесь на автоматическое пробуждение по завершении, если оно включено и команда выводит данные или завершается с ошибкой. Используйте process для журналов, состояния, ввода или вмешательства; не имитируйте планирование циклами sleep, циклами тайм-аутов или повторным опросом.
• Для работы, которая должна выполняться позже или по расписанию, используйте Cron вместо шаблонов сна/задержки exec.

​

Конфигурация

{
  tools: {
    exec: {
      pathPrepend: ["~/bin", "/opt/oss/bin"],
    },
  },
}

​

Режимы

​

Встроенное вычисление (strictInlineEval)

​

Обработка PATH

• host=gateway: объединяет PATH вашей оболочки входа с окружением выполнения. Переопределения env.PATH отклоняются при выполнении на хосте. Сам демон по-прежнему работает с минимальным PATH:
  • macOS: /opt/homebrew/bin, /usr/local/bin, /usr/bin, /bin
  • Linux: /usr/local/bin, /usr/bin, /bin
  • Чтобы конфигурация пользовательской оболочки (например, ~/.zshenv или /etc/zshenv) не переопределяла приоритетные пути во время запуска, записи tools.exec.pathPrepend безопасно добавляются в начало итогового PATH внутри команды оболочки непосредственно перед выполнением.
• host=sandbox: запускает sh -lc (оболочку входа) внутри контейнера, поэтому /etc/profile может сбросить PATH. OpenClaw добавляет env.PATH в начало после загрузки профиля через внутреннюю переменную окружения (без интерполяции оболочки); tools.exec.pathPrepend применяется и здесь.
• host=node: узлу передаются только указанные вами незаблокированные переопределения окружения. Переопределения env.PATH отклоняются при выполнении на хосте и игнорируются хостами узлов. Если на узле нужны дополнительные записи PATH, настройте окружение службы хоста узла (systemd/launchd) или установите инструменты в стандартные расположения.

openclaw config get agents.list
openclaw config set 'agents.list[0].tools.exec.node' "node-id-or-name"

​

Переопределения сеанса (/exec)

/exec host=auto security=allowlist ask=on-miss node=mac-1

​

Одобрения выполнения (сопутствующее приложение / хост узла)

​

Список разрешений и безопасные исполняемые файлы

• tools.exec.safeBins: небольшие потоковые фильтры, принимающие данные только через stdin.
• tools.exec.safeBinTrustedDirs: дополнительные явно доверенные каталоги для путей к безопасным исполняемым файлам.
• tools.exec.safeBinProfiles: явная политика argv для пользовательских безопасных исполняемых файлов.
• allowlist: явное доверие путям к исполняемым файлам.

​

Примеры

{ "tool": "exec", "command": "ls -la" }

{"tool":"exec","command":"npm run build","yieldMs":1000}
{"tool":"process","action":"poll","sessionId":"<id>"}

{"tool":"process","action":"send-keys","sessionId":"<id>","keys":["Enter"]}
{"tool":"process","action":"send-keys","sessionId":"<id>","keys":["C-c"]}
{"tool":"process","action":"send-keys","sessionId":"<id>","keys":["Up","Up","Enter"]}

{ "tool": "process", "action": "submit", "sessionId": "<id>" }

{ "tool": "process", "action": "paste", "sessionId": "<id>", "text": "line1\nline2\n" }

​

apply_patch

{
  tools: {
    exec: {
      applyPatch: { workspaceOnly: true, allowModels: ["gpt-5.6-sol"] },
    },
  },
}

• Политика инструментов по-прежнему применяется; allow: ["write"] неявно разрешает apply_patch.
• deny: ["write"] не запрещает apply_patch; явно запретите apply_patch или используйте deny: ["group:fs"], если запись исправлений также должна быть заблокирована.
• Конфигурация находится в tools.exec.applyPatch.
• tools.exec.applyPatch.enabled по умолчанию имеет значение true; установите значение false, чтобы отключить инструмент.
• tools.exec.applyPatch.workspaceOnly по умолчанию имеет значение true (только в пределах рабочего пространства). Установите значение false, только если намеренно хотите разрешить apply_patch записывать/удалять данные за пределами каталога рабочего пространства.
• tools.exec.applyPatch.allowModels — необязательный список разрешённых идентификаторов моделей (кратких, например gpt-5.4, или полных, например openai/gpt-5.4). Если он задан, инструмент получают только соответствующие модели; если не задан, инструмент получают все модели.

​

Связанные разделы

• Подтверждение выполнения — запросы подтверждения для команд оболочки
• Изоляция — выполнение команд в изолированных средах
• Фоновый процесс — инструменты exec и process для длительно выполняющихся процессов
• Безопасность — политика инструментов и повышенный доступ