OpenClaw Tools 配置详解:全局设置与单Agent配置

{
  "gateway": {
    "port": 18789,
    "enabled": true
  },
  // 全局默认：最小权限（仅聊天）
  "tools": {
    "profile": "messaging",
    "allow": [],
    "deny": ["*"]
  },
  "agents": {
    "list": [
      // Agent1：本地文件读写专用（id: file-agent）
      {
        "id": "file-agent",
        "name": "本地文件助手",
        "default": true,
        "workspace": "~/.openclaw/workspace-file",
        "tools": {
          "profile": "coding",
          "allow": ["group:fs"],
          "deny": ["group:web", "browser", "web_search", "web_fetch", "exec"]
        },
        "sandbox": {
          "mode": "restricted",
          "filesystem": {
            "read": ["~/Documents", "~/Projects"],	// 只能读这里,为空则禁止
            "write": ["~/Documents/OpenClaw"]		// 只能写这里,为空则禁止
          }
        }
      },
      // Agent2：GitHub/网络访问专用（id: github-agent）
      {
        "id": "github-agent",
        "name": "GitHub 助手",
        "workspace": "~/.openclaw/workspace-github",
        "tools": {
          "profile": "full",
          "allow": ["group:web", "browser", "web_search", "web_fetch"],
          "deny": ["group:fs", "exec", "process"]
        },
        "sandbox": {
          "mode": "strict",
          "filesystem": {
            "read": [],		// 禁止读任何文件
            "write": []		// 禁止写任何文件
          }
        }
      }
    ]
  }
}

"profile": "full"       // 全部工具（文件+命令+网络+浏览器）
"profile": "coding"     // 开发工具（文件+编辑+git）
"profile": "messaging"  // 仅聊天（无任何工具权限）
"profile": "minimal"    // 最小工具（仅基础功能）

sandbox = 沙箱 / 权限牢笼
**不加 sandbox 会怎样？**
Agent 能读你整个电脑的文件
能删系统文件、读密码、读桌面所有内容
非常危险 ❌
**加了 sandbox 会怎样？**
只能访问你指定的文件夹
不能越界
不能读系统盘、不能乱删文件
100% 安全 ✅
sandbox 真正作用总结
sandbox 不是可选的，是必须的！
它用来：
限制文件访问范围
限制命令执行权限
限制网络访问范围
防止 Agent 破坏你的电脑