SecretRef 凭据表面

本页面定义了规范的 SecretRef 凭据表面。

范围意图：

• 在范围内：严格用户提供的、OpenClaw 不铸造或轮换的凭据。
• 在范围外：运行时铸造或轮换的凭据、OAuth 刷新材料和类会话的产物。

支持的凭据

openclaw.json 目标（secrets configure + secrets apply + secrets audit）

完整列表包括：

• 模型提供商 API key 和 header
• 技能 API key
• 记忆搜索 API key
• Talk API key 和 TTS 提供商
• Web 搜索和 Firecrawl API key
• Gateway 认证 token 和密码
• Cron webhook token
• 各频道（Telegram、Slack、Discord、IRC、BlueBubbles、Feishu、MS Teams、Mattermost、Matrix、Nextcloud Talk、Zalo、Google Chat）的凭据

auth-profiles.json 目标

• profiles.*.keyRef（type: "api_key"）
• profiles.*.tokenRef（type: "token"）

说明：

• Auth-profile plan 目标需要 agentId。
• Auth-profile ref 包含在运行时解析和审计覆盖中。
• Web 搜索在显式提供商模式和自动模式下有不同的 key 活跃行为。

不支持的凭据

不在范围内的凭据包括：commands.ownerDisplaySecret、channels.matrix.accessToken、hooks.token、hooks.gmail.pushToken、auth-profiles.oauth.*、discord.threadBindings.*.webhookToken、whatsapp.creds.json 等。

原因：这些是铸造的、轮换的、带会话的或 OAuth 持久化的凭据类型，不适合只读的外部 SecretRef 解析。