> ## Documentation Index
> Fetch the complete documentation index at: https://docs2.openclaw.ai/llms.txt
> Use this file to discover all available pages before exploring further.

# Phê duyệt

# `openclaw approvals`

Quản lý phê duyệt exec cho **máy chủ cục bộ**, **máy chủ gateway**, hoặc **máy chủ nút**.
Theo mặc định, các lệnh nhắm đến tệp phê duyệt cục bộ trên đĩa. Dùng `--gateway` để nhắm đến gateway, hoặc `--node` để nhắm đến một nút cụ thể.

Bí danh: `openclaw exec-approvals`

Liên quan:

* Phê duyệt exec: [Phê duyệt exec](/vi/tools/exec-approvals)
* Nút: [Nút](/vi/nodes)

## `openclaw exec-policy`

`openclaw exec-policy` là lệnh tiện ích cục bộ để giữ cấu hình
`tools.exec.*` được yêu cầu và tệp phê duyệt của máy chủ cục bộ đồng bộ trong một bước.

Dùng lệnh này khi bạn muốn:

* kiểm tra chính sách cục bộ được yêu cầu, tệp phê duyệt của máy chủ và kết quả hợp nhất hiệu lực
* áp dụng một preset cục bộ như YOLO hoặc deny-all
* đồng bộ `tools.exec.*` cục bộ và tệp phê duyệt của máy chủ cục bộ

Ví dụ:

```bash theme={"theme":{"light":"min-light","dark":"min-dark"}}
openclaw exec-policy show
openclaw exec-policy show --json

openclaw exec-policy preset yolo
openclaw exec-policy preset cautious --json

openclaw exec-policy set --host gateway --security full --ask off --ask-fallback full
```

Chế độ đầu ra:

* không có `--json`: in chế độ xem bảng dễ đọc cho người dùng
* `--json`: in đầu ra có cấu trúc để máy đọc được

Phạm vi hiện tại:

* `exec-policy` **chỉ cục bộ**
* lệnh này cập nhật đồng thời tệp cấu hình cục bộ và tệp phê duyệt cục bộ
* lệnh này **không** đẩy chính sách đến máy chủ gateway hoặc máy chủ nút
* `--host node` bị từ chối trong lệnh này vì phê duyệt exec của nút được lấy từ nút khi chạy và thay vào đó phải được quản lý qua các lệnh phê duyệt nhắm đến nút
* `openclaw exec-policy show` đánh dấu các phạm vi `host=node` là do nút quản lý khi chạy, thay vì suy ra chính sách hiệu lực từ tệp phê duyệt cục bộ

Nếu cần chỉnh sửa trực tiếp phê duyệt của máy chủ từ xa, hãy tiếp tục dùng `openclaw approvals set --gateway`
hoặc `openclaw approvals set --node <id|name|ip>`.

## Lệnh phổ biến

```bash theme={"theme":{"light":"min-light","dark":"min-dark"}}
openclaw approvals get
openclaw approvals get --node <id|name|ip>
openclaw approvals get --gateway
```

`openclaw approvals get` hiện hiển thị chính sách exec hiệu lực cho các mục tiêu cục bộ, gateway và nút:

* chính sách `tools.exec` được yêu cầu
* chính sách trong tệp phê duyệt của máy chủ
* kết quả hiệu lực sau khi áp dụng quy tắc ưu tiên

Thứ tự ưu tiên là có chủ ý:

* tệp phê duyệt của máy chủ là nguồn sự thật có thể thực thi
* chính sách `tools.exec` được yêu cầu có thể thu hẹp hoặc mở rộng ý định, nhưng kết quả hiệu lực vẫn được suy ra từ các quy tắc của máy chủ
* `--node` kết hợp tệp phê duyệt của máy chủ nút với chính sách `tools.exec` của gateway, vì cả hai vẫn áp dụng khi chạy
* nếu cấu hình gateway không khả dụng, CLI sẽ fallback về snapshot phê duyệt của nút và ghi chú rằng không thể tính toán chính sách runtime cuối cùng

## Thay thế phê duyệt từ một tệp

```bash theme={"theme":{"light":"min-light","dark":"min-dark"}}
openclaw approvals set --file ./exec-approvals.json
openclaw approvals set --stdin <<'EOF'
{ version: 1, defaults: { security: "full", ask: "off", askFallback: "full" } }
EOF
openclaw approvals set --node <id|name|ip> --file ./exec-approvals.json
openclaw approvals set --gateway --file ./exec-approvals.json
```

`set` chấp nhận JSON5, không chỉ JSON nghiêm ngặt. Dùng `--file` hoặc `--stdin`, không dùng cả hai.

## Ví dụ "Không bao giờ nhắc" / YOLO

Với một máy chủ không bao giờ nên dừng lại vì phê duyệt exec, hãy đặt mặc định phê duyệt của máy chủ thành `full` + `off`:

```bash theme={"theme":{"light":"min-light","dark":"min-dark"}}
openclaw approvals set --stdin <<'EOF'
{
  version: 1,
  defaults: {
    security: "full",
    ask: "off",
    askFallback: "full"
  }
}
EOF
```

Biến thể Node:

```bash theme={"theme":{"light":"min-light","dark":"min-dark"}}
openclaw approvals set --node <id|name|ip> --stdin <<'EOF'
{
  version: 1,
  defaults: {
    security: "full",
    ask: "off",
    askFallback: "full"
  }
}
EOF
```

Thao tác này chỉ thay đổi **tệp phê duyệt của máy chủ**. Để giữ chính sách OpenClaw được yêu cầu đồng bộ, cũng đặt:

```bash theme={"theme":{"light":"min-light","dark":"min-dark"}}
openclaw config set tools.exec.host gateway
openclaw config set tools.exec.security full
openclaw config set tools.exec.ask off
```

Vì sao dùng `tools.exec.host=gateway` trong ví dụ này:

* `host=auto` vẫn có nghĩa là "dùng sandbox khi có, nếu không thì dùng gateway".
* YOLO nói về phê duyệt, không phải định tuyến.
* Nếu bạn muốn exec trên máy chủ ngay cả khi sandbox đã được cấu hình, hãy chỉ định rõ lựa chọn máy chủ bằng `gateway` hoặc `/exec host=gateway`.

`askFallback` bị bỏ qua sẽ mặc định là `deny`. Đặt rõ `askFallback: "full"`
khi nâng cấp một máy chủ không có UI nhưng cần giữ hành vi không bao giờ nhắc.

Lối tắt cục bộ:

```bash theme={"theme":{"light":"min-light","dark":"min-dark"}}
openclaw exec-policy preset yolo
```

Lối tắt cục bộ đó cập nhật đồng thời cả cấu hình `tools.exec.*` cục bộ được yêu cầu và
mặc định phê duyệt cục bộ. Về ý định, nó tương đương với thiết lập hai bước thủ công
ở trên, nhưng chỉ dành cho máy cục bộ.

## Trình trợ giúp allowlist

```bash theme={"theme":{"light":"min-light","dark":"min-dark"}}
openclaw approvals allowlist add "~/Projects/**/bin/rg"
openclaw approvals allowlist add --agent main --node <id|name|ip> "/usr/bin/uptime"
openclaw approvals allowlist add --agent "*" "/usr/bin/uname"

openclaw approvals allowlist remove "~/Projects/**/bin/rg"
```

## Tùy chọn phổ biến

`get`, `set`, và `allowlist add|remove` đều hỗ trợ:

* `--node <id|name|ip>`
* `--gateway`
* các tùy chọn RPC nút dùng chung: `--url`, `--token`, `--timeout`, `--json`

Ghi chú về nhắm mục tiêu:

* không có cờ mục tiêu nghĩa là dùng tệp phê duyệt cục bộ trên đĩa
* `--gateway` nhắm đến tệp phê duyệt của máy chủ gateway
* `--node` nhắm đến một máy chủ nút sau khi phân giải id, tên, IP hoặc tiền tố id

`allowlist add|remove` cũng hỗ trợ:

* `--agent <id>` (mặc định là `*`)

## Ghi chú

* `--node` dùng cùng bộ phân giải như `openclaw nodes` (id, tên, ip hoặc tiền tố id).
* `--agent` mặc định là `"*"`, áp dụng cho tất cả agent.
* Máy chủ nút phải quảng bá `system.execApprovals.get/set` (ứng dụng macOS hoặc máy chủ nút headless).
* Các tệp phê duyệt được lưu theo từng máy chủ trong thư mục trạng thái OpenClaw
  (`$OPENCLAW_STATE_DIR/exec-approvals.json`, hoặc
  `~/.openclaw/exec-approvals.json` khi biến chưa được đặt).

## Liên quan

* [Tham chiếu CLI](/vi/cli)
* [Phê duyệt exec](/vi/tools/exec-approvals)