（4757期）Openclaw Action – PR 级自动化安全门禁

PR 级自动化安全门禁 GitHub Action 自动化安全扫描工具，检测密钥泄露、注入攻击与数据外泄风险，集成 PR 工作流实现代码安全左移。 使用说明 核心用法 OpenClaw Security Action 是一款专为 AI Agent 工作空间设计的 GitHub Action 安全扫描工具，可在每次 Pull Request 或代码推送时自动执行三类检测： Sentry 扫描器：识别硬编码的 API 密钥、访问令牌、密码凭证等高熵字符串 Bastion 扫描器：检测提示注入标记（prompt injection）和 shell 注入模式 Egress 扫描器：监控可疑的网络调用与数据外泄行为模式 用户通过 YAML 配置即可集成至现有 CI/CD 流程，支持 fail-on-findings 参数控制是否阻断构建，输出可生成 PR 行级注释与汇总报告。 显著优点 零配置开箱即用：仅需指定扫描路径，Python 3.8+ 环境自动准备 检测左移：在代码合并前拦截安全问题，降低生产环境泄露风险 精细化输出：提供行级注释、findings-count 计数、has-critical 严重级别标记 纯检测不侵入：明确承诺不修改代码、不隔离文件，符合安全审计合规要求 轻量无依赖：除 Python 外无外部依赖，执行环境友好 潜在缺点与局限性 检测型非修复型：仅标记问题，不提供自动修复，需人工介入或升级至付费版 OpenClaw Pro 规则覆盖边界：依赖内置模式匹配，可能漏检变形混淆的密钥或新型注入手法 误报风险：高熵字符串检测可能将随机生成值误判为密钥 Agent 专项场景：针对 .openclaw/ 和 skills/ 路径优化，通用代码仓库可能需要调整配置 适合人群 维护 AI Agent 技能仓库的开发者与平台团队 需在 PR 阶段强制安全门禁的 DevSecOps 工程师 寻求轻量级、无侵入安全扫描能力的开源项目维护者 常规风险 工作流配置风险：若设置 fail-on-findings: false 可能绕过安全门禁 密钥泄露于日志：扫描结果输出至 GitHub Actions 日志，需确保日志保留策略合规 供应链风险：Action 引用 AtlasPA/openclaw-action@v1 需关注版本锁定与仓库可信度 原始说明 GitHub Action for automated security scanning of agent workspaces. Detects exposed secrets, prompt/shell injection, and data exfiltration patterns in PRs and commits.