沙盒操作（启用与停用）

安装指南

1. ClawHub CLI 从源直接安装技能的最快方式。
   npx clawhub@latest install sop-dev-004-operaciones-sandbox
2. 手动安装 将技能文件夹复制到以下位置之一
   全局模式
   ~/.openclaw/skills/
   工作区
   /skills/
   优先级：工作区 > 本地 > 内置
3. 提示词安装 将此提示词复制到 OpenClaw 即可自动安装。
   请帮我使用 Clawhub 安装 sop-dev-004-operaciones-sandbox。如果尚未安装 Clawhub，请先安装（npm i -g clawhub）。
   更倾向于下载？
   获取包含原生技能文件的ZIP压缩包。
   下载技能 (.zip)

什么是

本 Openclaw Skills 操作流程规定了 coder、dev 和 security 代理何时以及如何启用或停用 Docker 沙盒。它将常见任务映射到获准的隔离模式：coder 和 dev 测试使用 non-main，安全审计或渗透测试使用 all，正常生产操作使用 off。
此工作流程帮助团队在有意隔离的情况下运行可能造成干扰的测试和深入安全审查，之后再将代理恢复到标准生产模式。它还包括网关重启失败或配置损坏时的验证与升级处理指南。

应用场景

non-main
沙盒模式测试新的 Docker Compose 配置。
部署 Magento 前置条件，或运行需要隔离的开发脚本。
在恢复正常操作之前，先在适当的沙盒中执行破坏性脚本。
all
沙盒模式执行深入安全审计或渗透测试。
任务完成后，将沙盒模式设为
off
，恢复正常生产操作。
当代理需要在文档所述用例之外启用沙盒，或配置及网关恢复失败时，进行升级处理。

工作原理

确定任务及涉及的代理，然后选择获准模式：coder\dev 测试使用 non-main，安全审计或渗透测试使用 all，正常操作使用 off。
使用获准的 jq 操作，将 openclaw.json 中的 sandbox.mode 更新为所选值。
重启 OpenClaw 网关，使更新后的配置生效。
验证 openclaw.json 包含预期模式，并检查网关状态以确认重启成功。
任务完成后，将 sandbox.mode 设为 off，然后再次重启网关。
确认代理已恢复为 off 模式，并在 COMMS 中以 STATUS: DONE 记录完成情况。
如果网关未能重启或配置损坏，请恢复 openclaw.json 备份并向 main 升级处理。

配置指南

这是一份操作流程，而非软件包安装指南。它假设 OpenClaw 已完成配置、openclaw.json 可用，并且操作人员能够运行获准的 jq 配置更新操作，以及重启用户级网关服务。源操作流程未提供确切的 jq 命令，因此请使用适用于您环境的获准命令，不要猜测配置路径或备份方法。
更改沙盒模式后重启网关：
systemctl --user restart openclaw-gateway.service
每次重启后，都要验证已配置的模式和网关状态。完成后，将模式设为 off，重启，并在 COMMS 中报告 STATUS: DONE 之前确认生产环境运行正常。

数据架构

此流程使用 OpenClaw 配置文件，并记录 SOP 的操作元数据。
项目 用途 值或详情
openclaw.json 通过获准的 jq 操作更新的 OpenClaw 配置文件 包含 sandbox.mode 设置
sandbox.mode 选择隔离级别 non-main、all 或 off
non-main coder\dev 测试的沙盒模式 用于文档所述的开发和测试场景
all 安全工作的沙盒模式 用于审计和渗透测试
off 正常生产模式 任务完成后必须设置此模式
SOP 元数据 标识和跟踪操作流程 SOP-DEV-004；已批准；版本 1.0；代理 dev
完成记录 通报任务状态 包含 STATUS: DONE 的 COMMS 条目
源文件提到了 openclaw.json，但未指定其文件系统路径、确切的 jq 命令或备份文件名。请遵循环境中获准的配置和备份规范。

高级特性

按任务类型应用不同的隔离级别，而不是让所有代理都使用同一种沙盒模式。
涵盖完整的操作生命周期：启用、重启、验证、停用，并确认恢复生产环境。
要求同时检查配置和网关状态，有助于发现设置已更改但服务未能成功重启的情况。
提供恢复指南：如果网关重启失败或配置损坏，则恢复
openclaw.json
备份并向 main 升级处理。
防止未记录的用法：对于获准用例未涵盖的代理或场景，启用沙盒前应先询问 main。
通过在 COMMS 中更新
STATUS: DONE
，提供清晰的完成信号。

name: sop-dev-004-operaciones-sandbox description: "SOP Canónico: sop-dev-004-operaciones-sandbox" userFacing: true

sop_id: SOP-DEV-004 title: Operaciones de Sandbox (Activación y Desactivación) agent: dev status: approved version: 1.0 created: 2026-08-10 reviewed_by: "main" approved_by: "Sebastian (piloto Tier 1A)" promoted_to_skill: ""
Propósito

Definir cuándo y cómo activar/desactivar el sandbox Docker para coder, dev y security, y los modos válidos de aislamiento en OpenClaw.

Disparador

Test de docker-compose nuevo, deploy de prerequisitos Magento, scripts destructivos o auditoría de seguridad profunda
Necesidad de volver a producción (sandbox off)

Procedimiento

Identificar el caso de uso y el modo requerido:
coder/dev (pruebas): modo non-main
security (auditoría/pentest): modo all
operación normal: modo off
Activar para dev/coder con el comando jq que setea sandbox.mode = "non-main" en openclaw.json
Activar para security con el comando jq que setea sandbox.mode = "all"
Reiniciar el gateway: systemctl --user restart openclaw-gateway.service
Verificar que el modo quedó aplicado (config + status del gateway)
Al terminar la tarea → desactivar todo con el comando jq que setea sandbox.mode = "off" y reiniciar
Registrar en COMMS con STATUS: DONE
Validación
✅ El archivo openclaw.json refleja el modo esperado tras el jq
✅ El gateway reinició sin errores
✅ Al finalizar, todos los agentes volvieron a off (producción)

Escalado

Si el gateway no reinicia o la config queda corrupta → restaurar backup de openclaw.json y escalar a main
Si un agente necesita sandbox y no está en la tabla de casos de uso → preguntar a main antes de activar

Fuente: ~/.openclaw/workspace/cumplimiento/politicas/SANDBOX_OPERATIONS.md

Capgo Live Updates for Capacitor

Capgo Cloud