by 安全扫描
OpenClaw
安全
high confidenceOrchardOS 的代码、清单和运行指令与其声明的目的（智能任务板、子代理自动调度和本地 UI 代理）一致。虽然没有发现不相关或欺骗性的内容，但其自治子代理行为和可选的认证转发 UI 需要谨慎配置。
评估建议
该插件实现了其声明的功能：持久任务板、自治队列运行器和本地 UI 代理。安装前，请注意：1) 自治子代理是核心功能——如果需要限制风险，请启用调试日志或禁用所有.spawn，并在沙盒中测试；2) 独立 UI 转发浏览器的授权头到网关——保持本地绑定地址，避免不必要的 LAN 暴露；3) 可选配置字段（contextInjection.apiKey、provider）允许调用外部提供商——仅提供可信的 API 密钥；4) 构建插件需要本地模块和 Node 工具链——先在测试主机上验证；5) 查看和测试调试标志和速率/限制设置，以避免失控调度。如果需要更高的安全性，请在本地仅 OpenClaw 实例中运行插件，启用调试日志，手动审查仓库，或者限制其角色/权限。...详细分析 ▾
✓ 用途与能力
名称/描述（持久任务板、队列运行器、仪表板、子代理调度）与提供的源代码、路由、工具和插件清单匹配。没有不相关的环境变量或意外的二进制文件被请求。子代理的能力和循环回 UI 代理在清单和 README 中明确文档化。
✓ 指令范围
SKILL.md 和 README 仅描述插件安装、配置、可用代理工具和 API/UI 访问。运行时指令和代码库仅限于任务/项目 CRUD、队列/运行器控制、调试界面和本地 UI 代理。SKILL.md 中没有读取或窃取不相关主机文件或环境变量的指令。
ℹ 安装机制
注册表条目中没有安装规格（通过 OpenClaw 插件系统安装）。源代码包括标准的 npm package.json 和 package-lock；依赖项依赖 better-sqlite3（本地），构建步骤运行 tsc 和 HTML-to-TS 生成器。构建时的本地编译和对 OpenClaw 的对等依赖是预期的，但可能需要适当的 Node 工具链。
ℹ 凭证需求
插件不声明所需的环境变量或凭证。可选的调试环境变量和配置架构支持可选的上下文注入提供商（apiKey）和 UI 服务器设置。那些可选的 API 密钥/配置条目与功能成比例（上下文注入、外部知识库提供商、独立 UI），但启用它们会增加攻击面，应故意进行。
ℹ 持久化与权限
默认情况下 always 为 false，模型调用被允许。Orchard 设计为自治调度子代理（文档化的），这对于其目的是必要的，但如果配置错误会增加运营风险。插件默认暴露循环回认证转发代理；非循环回绑定将被拒绝，除非在配置中明确允许。
安全有层次，运行前请审查代码。
运行时依赖
无特殊依赖
版本
latestv0.2.5-rc.52026/3/29
发布 0.2.5-rc.5
● 无害
安装命令 点击复制
官方npx clawhub@latest install openclaw-orchard
镜像加速npx clawhub@latest install openclaw-orchard --registry https://cn.clawhub-mirror.com
技能文档
OrchardOS 是 OpenClaw 的智能项目与任务管理插件，提供持久的 SQLite 任务板、自动任务调度（子代理）和本地 UI 代理。支持 REST API、原生代理工具和 Web 控制台，适用于项目管理和任务自动化。
安装
openclaw plugins install clawhub:openclaw-orchard
openclaw gateway restart
配置（可选）
Orchard 安装后默认启用。如需调整模型、限制、数据库路径或队列频率，请在openclaw.json 中配置 orchard 插件条目。常见选项：
dbPathroles.executor.modelroles.architect.enabledlimits.maxConcurrentExecutorsqueueIntervalMs
代理工具
安装后，在每个代理会话中可用：| 工具 | 描述 |
|---|---|
orchard_project_create | 创建新项目 |
orchard_project_list | 列出所有项目 |
orchard_task_add | 向项目添加任务 |
orchard_task_list | 列出任务（按项目、状态过滤） |
orchard_task_done | 标记任务完成 |
orchard_task_block | 标记任务阻塞 |
orchard_task_comment | 添加任务评论 |
orchard_wake | 立即触发队列运行器 |
REST API
主网关 API 路由使用标准 OpenClaw 承载令牌认证模型：| 方法 | 路径 | 描述 |
|---|---|---|
| GET/POST | /orchard/projects | 列出/创建项目 |
| GET/POST | /orchard/projects/:id/tasks | 列出/添加任务 |
| GET/PUT | /orchard/tasks/:id | 获取/更新任务 |
| POST | /orchard/tasks/:id/comments | 添加评论 |
| GET | /orchard/tasks/:id/runs | 运行历史 |
| POST | /orchard/wake | 触发队列运行器 |
| GET | /orchard/ui | Web 控制台 |
工作原理
- 创建带有目标的项目
- 通过工具、API 或控制台添加任务（
ready状态） - 队列运行器每 5 分钟轮询一次（可配置），调度
ready任务为子代理 - 执行者使用
orchard_task_done/orchard_task_block报告状态 - 架构师在队列空时唤醒以生成新任务向项目目标推进
数据来源：ClawHub ↗ · 中文优化：龙虾技能库
OpenClaw 技能定制 / 插件定制 / 私有工作流定制
免费技能或插件可能存在安全风险，如需更匹配、更安全的方案，建议联系付费定制