2026：在 ProxyMac Mac mini 上用 OpenClaw MCP 文件系统白名单、POSIX 沙箱根目录与爆炸半径控制
OpenClaw 智能体在 香港、日本、韩国、新加坡或美国 租用的 Mac mini M4 上编排构建时，常会启用上游 MCP 文件系统 服务，让模型对比仓库差异或收集日志。一旦服务器的 argv 根目录包含整个主目录，这种便利就会演变成灾难——因为 MCP 继承的是运行网关进程的 Unix 用户的 POSIX 权限，而不是你政策备忘录里的理想状态。本手册提供：（1）对文件系统工具直截了当的威胁模型；（2）分离读、写与暂存卷的三层目录契约；（3）将自动化账户映射到目录的权限矩阵；（4）可执行的七步加固流程；（5）当有人在午夜演示里误执行 chmod -R 777 时的处置步骤。运行时监控应包含每分钟 open(2) 失败计数：持续的 ENFILE 或 EMFILE 尖峰往往表示智能体在被拒绝的树里空转而非优雅退出。请把基础原则与 MCP 服务搭建、密钥与钥匙串、macOS TCC 权限 结合，使防御分层而非流于表演。
建议每季度在预演环境做一次桌面演练：工程师故意放宽 argv 根、观察 JSONL 告警，再在 30 分钟内收紧范围——肌肉记忆胜过生产事故时的临场发挥。演练应记录谁批准了临时放宽、谁验证了回滚脚本校验和、谁在工单系统里关闭了环。把“允许列表 diff”当作与防火墙规则同等级的变更，能显著降低“演示后忘记收紧”的概率。
为何在 macOS 网关上，文件系统 MCP 的风险远高于浏览器自动化
与无头 Chromium 的边界不同，文件系统 MCP 可以遍历守护进程 UID 可读的任意路径——若人员误配主目录，甚至包括 ~/.ssh 里的私钥。提示注入未必需要远程代码执行；礼貌地请求模型执行 cat ~/.aws/credentials 即可。因此防御者应以与 IAM 角色相同的严格度划定目录：默认拒绝、为每次纳入附工单编号，并假设提示可能每周失控一次。
- 数量直觉：记录 MCP JSONL 的团队常观察到，长时间会话中每会话约 120–400 次文件系统操作——每次都可能仅通过路径名泄露元数据。
- Apple Silicon 视角：APFS 克隆意味着“复制仓库”快捷方式可能意外在环境间共享 inode 快照——不要依赖访达的复制语义做隔离。
- 审计挂钩：将哈希路径发往 JSONL 诊断，让安全运营在无需存储原始客户文件名的情况下回放尖峰。
另一个常被低估的向量是符号链接与相对路径：即使 argv 根看似安全，若暂存区内存在指向敏感目录的符号链接且 ACL 继承漂移，仍可能发生越界读取。应在每次大版本升级后运行显式 chmod -h 审计，并把结果附在变更单上。
三层白名单模型：只读语料、写入语料与暂存根
| 层级 | 用途 | 典型 APFS 路径 | 允许的 MCP 动词 |
|---|---|---|---|
| 只读语料 | 厂商 SDK、已批准文档 | /srv/oc-mcp/read/sdk-cache | 列举与读取字节 |
| 写入语料 | 生成产物、编译输出 | /srv/oc-mcp/write/build-out | 在子树内创建与追加 |
| 暂存 | 临时 diff 片段 | /srv/oc-mcp/scratch/$JOB_ID | 除符号链接逃逸外均可控 |
切勿把暂存符号链接到写入根——若 ACL 继承漂移，macOS 仍可能允许遍历。升级后务必执行显式 chmod -h 审计。
来自外接 SSD 的绑定挂载需要单独审查：任务中途拔掉硬盘可能让 MCP 缓存里残留陈旧 inode 句柄——硬件更换后应重启网关，并自动作废年龄小于 24 小时的暂存目录。
若团队使用 monorepo，请为每个子包分配独立暂存前缀，避免不同流水线在同一 scratch 树下互相踩踏文件名；前缀规则应写进 CI 模板而非口口相传。
POSIX 矩阵：将 LaunchDaemon 用户映射到文件系统范围
| Unix 账户 | 主组 | umask | 拥有的目录 |
|---|---|---|---|
automation | staff | 027 | 仅 /srv/oc-mcp/* |
builder（交互） | developer | 022 | Homebrew 树，非 MCP 根 |
root | wheel | 不适用 | 切勿运行 MCP 服务器——exec 前降权 |
sudo chown -R automation:staff /srv/oc-mcp，随后在 LaunchAgent 中禁止使用 sudo——运维通过带校验和标签的应急脚本提权。
矩阵应纳入新员工入职清单：说明为何不能用个人登录会话跑 MCP、为何不能把桌面文件夹拖进白名单。把“禁止项”写成三条以内的硬规则，比二十页政策更易执行。
在生产启用文件系统 MCP 之前的七步加固
- 冻结清单：在配置管理中记录每个 MCP argv 根——禁止在「下载」下藏影子副本。
- 创建 APFS 卷或文件夹并酌情使用 sticky bit；按作业 ID 用日期前缀分离暂存。
- 精简环境：在可行时让 LaunchAgent 设置
HOME=/srv/oc-mcp svc，避免波浪线展开乱跑。 - 密钥防火墙：将令牌放在可读根之外，或按 密钥指南 使用每用户钥匙串条目。
- 提示清洗：用网关中间件钩子阻止引用白名单外绝对路径的指令。
- 金丝雀任务：在预发环境尝试读取
../../etc/passwd——应得到确定性拒绝并记录日志。 - 季度复审：将
find /srv/oc-mcp -perm +020输出与策略基线 diff——任何变宽都触发回滚。
第七步之后还应做一次容量与 inode基线快照：智能体批量列举大目录时，即使权限正确也可能把磁盘 I/O 打满；把 ulimit 与 LaunchAgent 的 ThrottleInterval 一并纳入审查。
智能体读取超出契约时的应急响应
若 JSONL 出现意外路径前缀或文件描述符突然飙升，先按入侵假设处理。即时手册：（1）对 MCP plist 执行 launchctl bootout；（2）若 Time Machine 覆盖该卷，用 tmutil compare 做 APFS 快照对比；（3）轮换任何曾靠近可读目录的云 PAT；（4）若输出触及受监管数据则通知客户；（5）在中间件落地前用护栏正则临时修补提示。时间戳请精确到正负 5 分钟——财务团队需要与计费周期重叠的事故桥接相关联。
遏制后召开无责复盘，至少回答五个问题：哪些 argv 根宽于策略、哪位工程师批准了扩大、哪条自动化测试本应报警、JSONL 保留证据多久、以及 环境隔离 是否能限制爆炸半径。把答案与合并请求链接写进合规台账。
对外沟通模板应预先写好：包含影响时间窗、已轮换的凭据类型、客户需采取的动作（若有）。慌乱时复制粘贴比即兴写邮件更少出错。
常见问题
macOS 沙箱描述文件有帮助吗？仅当你包装 MCP 二进制时如此——多数团队依赖目录白名单，因为上游服务器常未签名。
能否挂载远程 NFS？对延迟敏感的智能体应尽量避免；若不可避免，将挂载根视为只读并监控 TCP 停滞。
大小写不敏感的 APFS 布局呢？仅大小写不同的重复路径可能混淆 diff 工具——暴露给 MCP 前应规范化。
如何测试符号链接逃逸？在暂存内故意创建 ln -s ../../etc/hosts，断言 MCP 报告权限错误且 JSONL 记录尝试——每次 Node.js 小版本升级后重复，因为模块解析可能改变 realpath 行为。
为何严格限定 MCP 时仍适合 ProxyMac Mac mini
单租 Mac mini M4 主机提供确定性路径——没有邻居容器悄悄把你的 /srv 树 bind-mount 进来——而 Apple Silicon 在智能体批量读取框架时仍能保持可预测的吞吐。通过 定价页 比较方案，通过 帮助中心 落实远程工作流，并在需要肉眼确认某人声称“只是临时”的 chmod 漂移时查阅 VNC 说明。
