为 OpenClaw 添加工具与技能是让其成为得力助手的必经之路，但这伴随着风险与维护难题。这篇内容的独特价值在于提供了一条“先稳再强”的最小化启用路线图，帮助你在保障系统安全的前提下，有条不紊地释放其全部潜力。
智能速览
OpenClaw 技能存放于三个不同优先级的目录，推荐工作区目录。
可通过配置文件 `openclaw.json` 精准控制每个技能的启用或禁用。
工具启用需遵循“先稳再强”的安全顺序，避免系统失控。
推荐顺序为：消息渠道、定时任务、Webhook、浏览器、命令行。
每次添加新能力后，建议运行一次 `openclaw security audit` 安全自检。
可构建包含专用频道、定时报告等模块的复用工作流模板。
精华内容
想让 OpenClaw 成为一个得力助手，工具与技能的引入必不可少。但如何平衡能力与风险？下面将详细拆解一套“先稳再强”的最小化启用策略，帮你安全地释放其全部潜力。
技能存放位置
OpenClaw 会从三个位置加载技能，优先级从高到低。首先是 `
其次是 `~/.openclaw/skills`，用于在同一台机器上共享技能。最后是随安装包自带的内置 bundled skills。理解这个优先级，有助于更好地管理和隔离不同项目的技能。
精准启用技能
为了避免一上来就启用所有技能导致混乱，可以通过 `~/.openclaw/openclaw.json` 配置文件进行精细化控制。在该文件的 `skills.entries` 部分，可以精确设置每个技能的 `enabled` 状态为 `true` 或 `false`。
例如，将 `peekaboo` 设为 `enabled: true`，而将 `sag` 设为 `enabled: false`。这种方法确保了只加载当前任务所必需的技能，从源头上降低了复杂度和潜在风险。
安全启用顺序
启用工具时，强烈建议遵循一条安全路线。第一步，只开启消息渠道，如飞书或 Slack，实现基础的对话能力。
第二步，开启 Cron 定时任务，用于生成日报或设置提醒。第三步，再开放 Webhook，让系统能响应外部事件。第四步，当需要“上网核验”信息时，才开启浏览器工具。最后，也是风险最高的一步，才考虑启用 Exec（命令行）工具，并务必配合 approvals（审批）和 allowlist（白名单）机制。
安全与复用
安全是一个持续的过程。建议每为 OpenClaw 添加一项新能力后，都立即运行一次 `openclaw security audit` 命令进行自检，及时发现潜在问题。
在此基础上，可以将常用的工作流模式化、模板化。例如，创建一个“专用频道”接收任务，一个 cron 定时产出日报，一个 webhook 接收外部工单，再通过控制台进行配置与审批。这种模板化的思路，能极大提升后续项目的搭建效率。
