跑步膝的预防与康复，跑者必须知道的护膝知识

3月11日，龙虾针对“龙虾”典型应用场景下的工信安全风险，工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）组织智能体提供商、部发布关漏洞收集平台运营单位、于防源智网络安全企业等，范O风险研究提出“六要六不要”建议。安全http://xhwhy.com/Article/details/xNngOAIJ.shtml

一、建议典型应用场景安全风险

（一）智能办公场景主要存在供应链攻击和企业内网渗透的龙虾突出风险

1．场景描述：通过在企业内部部署“龙虾”，对接企业已有管理系统，工信实现智能化数据分析、部发布关文档处理、于防源智行政管理、范O风险财务辅助和知识管理等。安全

2．安全风险：引入异常插件、建议“技能包”等引发供应链攻击；网络安全风险在内网横向扩散，龙虾引发已对接的系统平台、数据库等敏感信息泄露或丢失；缺乏审计和追溯机制情况下易引发合规风险。

3．应对策略：独立网段部署，与关键生产环境隔离运行，禁止在内部网络使用未审批的“龙虾”智能体终端；部署前进行充分安全测试，部署时采取最小化权限授予，禁止非必要的跨网段、跨设备、跨系统访问；留存完整操作和运行日志，确保满足审计等合规要求。

（二）开发运维场景主要存在系统设备敏感信息泄露和被劫持控制的突出风险

1．场景描述：通过企业或个人部署“龙虾”，将自然语言转化为可执行指令，辅助进行代码编写、代码运行、设备巡检、配置备份、系统监控、管理进程等。

2．安全风险：非授权执行系统命令，设备遭网络攻击劫持；系统账号和端口信息暴露，遭受外部攻击或口令爆破；网络拓扑、羞羞网站入口账户口令、API接口等敏感信息泄露。

3．应对策略：避免生产环境直接部署使用，优先在虚拟机或沙箱中运行；部署前进行充分安全测试，部署时采取最小化权限授予，禁止授予管理员权限；建立高危命令黑名单，重要操作启用人工审批机制。

（三）个人助手场景主要存在个人信息被窃和敏感信息泄露的突出风险

1．场景描述：通过个人即时通讯软件等远程接入本地化部署的“龙虾”，提供个人信息管理、日常事务处理、数字资产整理等，并可作为知识学习和生活娱乐助手。

2．安全风险：权限过高导致恶意读写、删除任意文件；互联网接入情况下遭受网络攻击入侵；通过提示词注入误执行危险命令，甚至接管智能体；明文存储密钥等导致个人信息泄露或被窃取。

3．应对策略：加强权限管理，仅允许访问必要目录，禁止访问敏感目录；优先通过加密通道接入，禁止非必要互联网访问，禁止高危操作指令或增加二次确认；严格通过加密方式存储API密钥、配置文件、个人重要信息等。

（四）金融交易场景主要存在引发错误交易甚至账户被接管的突出风险

1．场景描述：通过企业或个人部署“龙虾”，调用金融相关应用接口，进行自动化交易与风险控制，提高量化交易、智能投研及资产组合管理效率，实现市场数据抓取、策略分析、交易指令执行等功能。

2．安全风险：记忆投毒导致错误交易，身份认证绕过导致账户被非法接管；引入包含恶意代码的插件导致交易凭证被窃取；极端情况下因缺乏熔断或应急机制，导致智能体失控频繁下单等风险。

3．应对策略：实施网络隔离与最小权限，关闭非必要互联网端口；建立人工复核和熔断应急机制，黄色平台视频关键操作增加二次确认；强化供应链审核，使用官方组件并定期修复漏洞；落实全链路审计与安全监测，及时发现并处置安全风险。

二、安全使用建议

（一）使用官方最新版本。要从官方渠道下载最新稳定版本，并开启自动更新提醒；在升级前备份数据，升级后重启服务并验证补丁是否生效。不要使用第三方镜像版本或历史版本。

（二）严格控制互联网暴露面。要定期自查是否存在互联网暴露情况，一旦发现立即下线整改。不要将“龙虾”智能体实例暴露到互联网，确需互联网访问的可以使用SSH等加密通道，并限制访问源地址，使用强密码或证书、硬件密钥等认证方式。

（三）坚持最小权限原则。要根据业务需要授予完成任务必需的最小权限，对删除文件、发送数据、修改系统配置等重要操作进行二次确认或人工审批。优先考虑在容器或虚拟机中隔离运行，形成独立的权限区域。不要在部署时使用管理员权限账号。

（四）谨慎使用技能市场。要审慎下载ClawHub“技能包”，并在安装前审查技能包代码。不要使用要求“下载ZIP”、“执行shell脚本”或“输入密码”的技能包。

（五）防范社会工程学攻击和浏览器劫持。要使用浏览器沙箱、网页过滤器等扩展阻止可疑脚本，启用日志审计功能，遇到可疑行为立即断开网关并重置密码。粉色水蜜桃91不要浏览来历不明的网站、点击陌生的网页链接、读取不可信文档。

（六）建立长效防护机制。要定期检查并修补漏洞，及时关注OpenClaw官方安全公告、工业和信息化部网络安全威胁和漏洞信息共享平台等漏洞库的风险预警。党政机关、企事业单位和个人用户可以结合网络安全防护工具、主流杀毒软件进行实时防护，及时处置可能存在的安全风险。不要禁用详细日志审计功能。

附录：部分安全基线及配置参考

一、智能体部署

创建OpenClaw专有用户，切勿使用sudo组：

sudo adduser --shell /bin/rbash --disabled-password clawuser

通过创建的专有用户登录操作系统。

创建受限的命令目录，禁止rm、mv、dd、format、powershell等：

sudo mkdir -p /home/clawuser/bin

sudo ln -s /bin/ls /home/clawuser/bin/ls

sudo ln -s /bin/echo /home/clawuser/bin/echo

强制设置 PATH 并只读，如在 /etc/profile.d/restricted_clawuser.sh修改配置：

echo 'if [ "$USER" = "clawuser" ]; then export PATH=/home/clawuser/bin; readonly PATH; fi' | sudo tee /etc/profile.d/restricted_clawuser.sh

sudo chmod 644 /etc/profile.d/restricted_clawuser.sh

禁用root登录：

sudo sed -i 's/^#\PermitRootLogin.*/PermitRootLogin no/' /etc/ssh/sshd_config

sudo systemctl restart sshd

二、限制互联网访问

（一）Linux服务器配置

创建自定义链：

sudo iptables -N ALLOWED_IPS

添加允许的IP（IP地址为示例，操作时需替换为实际IP地址）：

sudo iptables -A ALLOWED_IPS -s 192.168.1.100 -j ACCEPT

sudo iptables -A ALLOWED_IPS -s 10.0.0.5 -j ACCEPT

sudo iptables -A ALLOWED_IPS -s 172.24.57.160 -j ACCEPT

sudo iptables -A ALLOWED_IPS -j RETURN

应用到SSH端口：

sudo iptables -A INPUT -p tcp --dport 22 -j ALLOWED_IPS

sudo iptables -A INPUT -p tcp --dport 17477 -j ALLOWED_IPS

此外，可参考上述命令关闭以下端口互联网访问或设置IP地址白名单：Telnet（23）、Windows文件共享（135、137、138、139、445）、Windows远程桌面（3389）、远程桌面控制（5900-5910）、数据库类端口（3306、5432、6379、糖心入口破解版27017）。

（二）VPN接入的情况下配置

将OpenClaw Gateway绑定127.0.0.1，切勿直接绑定到0.0.0.0。

关闭18789端口：

sudo ufw deny 18789

远程访问时强制使用VPN并启用Gateway认证（在openclaw.json中设置gateway.auth.mode: "token"及强令牌）。

三、开启详细日志

开启日志记录：

openclaw gateway --log-level debug >> /var/log/openclaw.log 2>&1

四、文件系统访问控制

在Docker部署配置文件(docker-compose.yml)中，利用volumes参数将系统关键目录挂载为:ro（只读）模式，仅保留特定的/workspace为可写状态。

在宿主机系统层，通过chmod 700指令对私密数据目录实施强制访问控制：

sudo chmod 700 /path/to/your/workspace

五、第三方技能审查

安装前执行技能审查命令：

openclaw skills info

并审查~/.openclaw/skills//SKILL.md文件，确认无恶意指令（如curl、bash）。

优先选用内置55个Skill或社区精选列表（如awesome-openclaw-skills）。

六、安全自检

定期运行安全审计命令：

openclaw security audit

针对审计发现的安全隐患，如网关认证暴露、浏览器控制暴露等，及时按照上述安全基线及配置参考、官方手册等进行处置。

七、更新版本

运行版本更新命令：

openclaw update

八、卸载

打开终端，执行删除命令：

openclaw uninstall

使用鼠标上下移动光标，按空格键勾选所有选项，然后按回车键确认。

选择yes并按回车，此命令会自动删除OpenClaw的工作目录。

卸载npm包：

1. 使用npm安装openclaw对应卸载命令：

npm rm -g openclaw

2. 如果使用pnpm安装openclaw对应卸载命令：

pnpm remove -g openclaw

3. 如果使用bun安装openclaw对应卸载命令：

bun remove -g openclaw

3月11日，针对“龙虾”典型应用场景下的安全风险，工业和信息化部网络安全威胁和漏洞信息共享平台（NVDB）组织智能体提供商、漏洞收集平台运营单位、网络安全企业等，研究提出“六要六不要”建议。

一、典型应用场景安全风险

（一）智能办公场景主要存在供应链攻击和企业内网渗透的突出风险

1．场景描述：通过在企业内部部署“龙虾”，对接企业已有管理系统，实现智能化数据分析、文档处理、行政管理、财务辅助和知识管理等。

2．安全风险：引入异常插件、“技能包”等引发供应链攻击；网络安全风险在内网横向扩散，引发已对接的系统平台、数据库等敏感信息泄露或丢失；缺乏审计和追溯机制情况下易引发合规风险。

3．应对策略：独立网段部署，与关键生产环境隔离运行，禁止在内部网络使用未审批的“龙虾”智能体终端；部署前进行充分安全测试，部署时采取最小化权限授予，禁止非必要的跨网段、跨设备、跨系统访问；留存完整操作和运行日志，确保满足审计等合规要求。

（二）开发运维场景主要存在系统设备敏感信息泄露和被劫持控制的突出风险

1．场景描述：通过企业或个人部署“龙虾”，将自然语言转化为可执行指令，辅助进行代码编写、代码运行、设备巡检、配置备份、系统监控、管理进程等。

2．安全风险：非授权执行系统命令，设备遭网络攻击劫持；系统账号和端口信息暴露，遭受外部攻击或口令爆破；网络拓扑、账户口令、API接口等敏感信息泄露。

3．应对策略：避免生产环境直接部署使用，优先在虚拟机或沙箱中运行；部署前进行充分安全测试，部署时采取最小化权限授予，禁止授予管理员权限；建立高危命令黑名单，重要操作启用人工审批机制。

（三）个人助手场景主要存在个人信息被窃和敏感信息泄露的突出风险

1．场景描述：通过个人即时通讯软件等远程接入本地化部署的“龙虾”，提供个人信息管理、日常事务处理、数字资产整理等，并可作为知识学习和生活娱乐助手。

2．安全风险：权限过高导致恶意读写、删除任意文件；互联网接入情况下遭受网络攻击入侵；通过提示词注入误执行危险命令，甚至接管智能体；明文存储密钥等导致个人信息泄露或被窃取。

3．应对策略：加强权限管理，仅允许访问必要目录，禁止访问敏感目录；优先通过加密通道接入，禁止非必要互联网访问，禁止高危操作指令或增加二次确认；严格通过加密方式存储API密钥、配置文件、个人重要信息等。

（四）金融交易场景主要存在引发错误交易甚至账户被接管的突出风险

1．场景描述：通过企业或个人部署“龙虾”，调用金融相关应用接口，进行自动化交易与风险控制，提高量化交易、智能投研及资产组合管理效率，实现市场数据抓取、策略分析、交易指令执行等功能。

2．安全风险：记忆投毒导致错误交易，身份认证绕过导致账户被非法接管；引入包含恶意代码的插件导致交易凭证被窃取；极端情况下因缺乏熔断或应急机制，导致智能体失控频繁下单等风险。

3．应对策略：实施网络隔离与最小权限，关闭非必要互联网端口；建立人工复核和熔断应急机制，关键操作增加二次确认；强化供应链审核，使用官方组件并定期修复漏洞；落实全链路审计与安全监测，及时发现并处置安全风险。

二、安全使用建议

（一）使用官方最新版本。要从官方渠道下载最新稳定版本，并开启自动更新提醒；在升级前备份数据，升级后重启服务并验证补丁是否生效。不要使用第三方镜像版本或历史版本。

（二）严格控制互联网暴露面。要定期自查是否存在互联网暴露情况，一旦发现立即下线整改。不要将“龙虾”智能体实例暴露到互联网，确需互联网访问的可以使用SSH等加密通道，并限制访问源地址，使用强密码或证书、硬件密钥等认证方式。

（三）坚持最小权限原则。要根据业务需要授予完成任务必需的最小权限，对删除文件、发送数据、修改系统配置等重要操作进行二次确认或人工审批。优先考虑在容器或虚拟机中隔离运行，形成独立的权限区域。不要在部署时使用管理员权限账号。

（四）谨慎使用技能市场。要审慎下载ClawHub“技能包”，并在安装前审查技能包代码。不要使用要求“下载ZIP”、“执行shell脚本”或“输入密码”的技能包。

（五）防范社会工程学攻击和浏览器劫持。要使用浏览器沙箱、网页过滤器等扩展阻止可疑脚本，启用日志审计功能，遇到可疑行为立即断开网关并重置密码。不要浏览来历不明的网站、点击陌生的网页链接、读取不可信文档。

（六）建立长效防护机制。要定期检查并修补漏洞，及时关注OpenClaw官方安全公告、工业和信息化部网络安全威胁和漏洞信息共享平台等漏洞库的风险预警。党政机关、企事业单位和个人用户可以结合网络安全防护工具、主流杀毒软件进行实时防护，及时处置可能存在的安全风险。不要禁用详细日志审计功能。

附录：部分安全基线及配置参考

一、智能体部署

创建OpenClaw专有用户，切勿使用sudo组：

sudo adduser --shell /bin/rbash --disabled-password clawuser

通过创建的专有用户登录操作系统。

创建受限的命令目录，禁止rm、mv、dd、format、powershell等：

sudo mkdir -p /home/clawuser/bin

sudo ln -s /bin/ls /home/clawuser/bin/ls

sudo ln -s /bin/echo /home/clawuser/bin/echo

强制设置 PATH 并只读，如在 /etc/profile.d/restricted_clawuser.sh修改配置：

echo 'if [ "$USER" = "clawuser" ]; then export PATH=/home/clawuser/bin; readonly PATH; fi' | sudo tee /etc/profile.d/restricted_clawuser.sh

sudo chmod 644 /etc/profile.d/restricted_clawuser.sh

禁用root登录：

sudo sed -i 's/^#\PermitRootLogin.*/PermitRootLogin no/' /etc/ssh/sshd_config

sudo systemctl restart sshd

二、限制互联网访问

（一）Linux服务器配置

创建自定义链：

sudo iptables -N ALLOWED_IPS

添加允许的IP（IP地址为示例，操作时需替换为实际IP地址）：

sudo iptables -A ALLOWED_IPS -s 192.168.1.100 -j ACCEPT

sudo iptables -A ALLOWED_IPS -s 10.0.0.5 -j ACCEPT

sudo iptables -A ALLOWED_IPS -s 172.24.57.160 -j ACCEPT

sudo iptables -A ALLOWED_IPS -j RETURN

应用到SSH端口：

sudo iptables -A INPUT -p tcp --dport 22 -j ALLOWED_IPS

sudo iptables -A INPUT -p tcp --dport 17477 -j ALLOWED_IPS

此外，可参考上述命令关闭以下端口互联网访问或设置IP地址白名单：Telnet（23）、Windows文件共享（135、137、138、139、445）、Windows远程桌面（3389）、远程桌面控制（5900-5910）、数据库类端口（3306、5432、6379、27017）。

（二）VPN接入的情况下配置

将OpenClaw Gateway绑定127.0.0.1，切勿直接绑定到0.0.0.0。

关闭18789端口：

sudo ufw deny 18789

远程访问时强制使用VPN并启用Gateway认证（在openclaw.json中设置gateway.auth.mode: "token"及强令牌）。

三、开启详细日志

开启日志记录：

openclaw gateway --log-level debug >> /var/log/openclaw.log 2>&1

四、文件系统访问控制

在Docker部署配置文件(docker-compose.yml)中，利用volumes参数将系统关键目录挂载为:ro（只读）模式，仅保留特定的/workspace为可写状态。

在宿主机系统层，通过chmod 700指令对私密数据目录实施强制访问控制：

sudo chmod 700 /path/to/your/workspace

五、第三方技能审查

安装前执行技能审查命令：

openclaw skills info

并审查~/.openclaw/skills//SKILL.md文件，确认无恶意指令（如curl、bash）。

优先选用内置55个Skill或社区精选列表（如awesome-openclaw-skills）。

六、安全自检

定期运行安全审计命令：

openclaw security audit

针对审计发现的安全隐患，如网关认证暴露、浏览器控制暴露等，及时按照上述安全基线及配置参考、官方手册等进行处置。

七、更新版本

运行版本更新命令：

openclaw update

八、卸载

打开终端，执行删除命令：

openclaw uninstall

使用鼠标上下移动光标，按空格键勾选所有选项，然后按回车键确认。

选择yes并按回车，此命令会自动删除OpenClaw的工作目录。

卸载npm包：

1. 使用npm安装openclaw对应卸载命令：

npm rm -g openclaw

2. 如果使用pnpm安装openclaw对应卸载命令：

pnpm remove -g openclaw

3. 如果使用bun安装openclaw对应卸载命令：

bun remove -g openclaw

首届古北水镇长城星空放映节, 即将开幕！

　　8月7号到8月16号，由古北水镇景区与吴氏策划共同打造的首届古北水镇长城星空放映节，将在古北水镇景区长城剧场隆重开幕。届时，众多殿堂级的艺术作品将邂逅星空与长城，在司马台长城下，为观众带来无与伦比的沉浸式视听艺术盛宴。

　　殿堂级艺术作品，营造感官狂欢

　　首届星空放映节将轮番放映国际顶级演出团体包括柏林爱乐乐团、维也纳爱乐乐团、维也纳国家歌剧院、斯卡拉歌剧院以及布雷根茨音乐节的演出作品。在群山怀抱的长城剧场，欣赏《天鹅湖》、《卡门》、《睡美人》、《罗密欧与朱丽叶》、《魔笛》等国外知名剧目以及《欢乐颂》音乐会、柴可夫斯基音乐会等殿堂级的艺术作品。环境、声音、视觉等多方面的享受将调动观众的艺术细胞，使其沉浸在感官的狂欢之中。此外，多位知名业界大咖将亲临星空放映节现场，为观众带来全方位经典解读。

　　艺术没有国界，艺术没有距离

　　首届古北水镇长城星空放映节期间，所有前往古北水镇的游客均可免费参与，零距离零门槛享受最纯正的艺术盛宴。作为将文化与旅游相结合的综合性旅游度假目的地，古北水镇一直致力于挖掘传统，推广世界，多元结合的文化体系建设。而本次放映节的另一发起方吴氏策划，作为亚洲最大的表演艺术经济公司，其组织演出的大型歌剧、交响乐、舞蹈、戏剧等表演内容受到全世界观众的广泛好评。疫情期间，国外乐团的演出受到限制，秉承“艺术无国界，艺术无距离”的理念，古北水镇和吴氏策划团队合力引进高清片源和播放设备，在长城剧场上将经典重现。

　　超高清剧目呈现，8k画质藏于其间

　　首届星空放映节不仅有5部高清的经典演出剧目，更有两部全球罕见的8K超高清分辨率的影片——卡拉扬与柏林爱乐乐团柴可夫斯基音乐会和伯恩斯坦与维也纳爱乐乐团《欢乐颂》音乐。8K投影露天放映，作为目前画质的天花板，不仅给人纤毫毕现的视觉享受，更是拔高了长城脚下视听世界的新高度。超震撼的视觉体验，让世界殿堂级艺术作品真真切切地呈现在观众的面前。

　　史诗级露天剧场，承载艺术盛宴

　　背倚司马台长城，远眺鸳鸯湖水库，被群山环绕着的长城剧场是古北水镇艺术盛宴承载地。今夏，在长城剧场，仰首即可赏浩瀚星辰的浪漫，俯首即可观世界艺术的狂欢，2000多个观众席位，为长城星空放映节提供了广阔的品味空间。在天地自然之间，感受史诗级幕天席地的身心震撼;在歌剧音乐之前，品味殿堂级阳春白雪的艺术盛宴。

　　多样化夏日活动，尽兴嗨玩一夏天

　　今年夏天，古北水镇，这一长城下的星空小镇，以“星空”为主题推出了多样化的夏日活动，如星空音乐派对、星空啤酒夜市、星空下的讲堂、传统手工艺体验等。这些活动贯穿了古北水镇的整个夏季，在长城星空放映节举办期间，所有游客均可参加，这将进一步丰富古北水镇长城星空放映节之旅。

　　一次建筑奇迹与文化奇迹的融合，一次联动多元感官的沉浸体验，一场贯穿时间与空间的艺术之旅，尽在古北水镇长城星空放映节!长城脚下，仲夏星空，古北水镇长城星空放映节邀您一起参加沉浸式的视听艺术盛宴!

泉州应急救援工作领导小组通报最新情况

泉州应急救援工作领导小组通报最新情况 

现场已搜救出55人，死亡14人，还有16人正在搜救 

东南网3月10日讯（福建日报记者 刘益清 何金） 9日晚，泉州市应急救援工作领导小组就鲤城区欣佳酒店楼体坍塌事故有关处置工作进展情况召开记者会，通报事故救援工作、伤员医疗救治、事故善后等有关情况。

3月7日19时17分，泉州市消防救援支队指挥中心接到报警后，全支队快速反应，19时33分第一批救援力量到场。随后动员全支队力量赶赴现场。省消防救援总队及时启动跨区域增援，全面开展救援行动。在应急管理部、省市各级领导的指挥下，截至3月9日23时20分，现场搜救出受困人员55人，死亡14人（其中12人救出时无生命体征，2人送医抢救无效死亡），正在搜救的还有16人。

目前，在泉州市应急救援工作领导小组统一指挥领导和省卫健委指导下，泉州市第一医院、福建医科大学附属第二医院、解放军联勤保障部队第910医院、泉州市中医院4家救治医院与国家级、省级医疗救治专家密切对接、通力协作，医疗救治有序有效进行。

收治情况：截至3月9日20时，共收治48名伤员（包括自行逃生者8人）。目前在医院救治46名，其中泉州市第一医院14名、福建医科大学附属第二医院13名、解放军联勤保障部队第910医院5名、泉州市中医院14名。

救治情况：医疗组会商省卫健委后，将42名国家级专家、省级专家分6个指导组，每天上午、下午两次参与病区查房，对多发伤病人逐一进行三级多学科联合会诊，针对性研究分析。充分考虑挤压伤可能出现迟发性并发症的临床特点，各救治医院选派经验丰富的医护人员密切观察、监护，视情况进行即时评估和相应医疗干预。

善后方面：善后工作组按照“从紧从快、有理有序”的原则，第一时间将全部被困人员，分8个组由8个街道一对一摸排人员信息、联系家属亲属。截至目前，所有被困人员身份信息全部摸排清楚，并与其家属亲属取得联系，掌握家属基本情况、当前状况等基本信息，为下一步善后工作做好准备。

截至9日18时，善后工作组对已在泉州的19户54名亲属分别安置在8个住宿场所，各街道分片包干服务，按照遇难、待救援、重伤人员每户家属配备3名精干力量，轻伤人员每户家属配备1至2人的比例，第一时间做好伤亡人员本人及亲属的信息了解登记，迅速开展沟通安抚及食宿接待保障工作。