Compliance Checker 是一个专为 OpenClaw 技能生态设计的合规评估工具，旨在解决安全扫描器和信任验证器无法回答的核心问题：“该技能是否符合我们的安全策略？”它通过定义可定制的安全策略，将漏洞扫描结果、信任级别等分散的数据源整合为统一的合规视图。用户可以为不同环境（如生产、测试）创建独立的策略，并基于这些规则对技能库进行全面检查。工具内置了与行业标准框架（如 CIS、OWASP）对齐的检查项，确保评估结果具备权威性和可操作性。其核心优势在于将被动发现风险转变为主动管理合规状态，帮助开发者和组织建立系统化的技能治理流程。
核心功能特点
- 支持自定义安全策略定义，可针对不同部署环境配置差异化规则
- 集成 arc-skill-scanner 和 arc-trust-verifier 的输出数据，实现漏洞与信任信息的联动分析
- 提供标准化的合规状态分类（合规/不合规/豁免/未知），并支持豁免申请与修复追踪
- 内置10项预置规则，涵盖关键漏洞控制、网络访问限制、代码执行防护等常见安全风险
- 生成结构化合规报告（JSON/文本格式），便于自动化集成与人工审计
适用场景
Compliance Checker 特别适用于需要严格管控第三方或内部技能在生产环境中使用的场景。例如，当企业引入新的自动化技能时，可通过该工具快速验证其是否满足最小权限原则——比如禁止高风险操作（shell 执行、eval 调用）、强制要求依赖版本锁定以防止供应链攻击。对于 DevSecOps 团队而言，它可在 CI/CD 流水线中作为质量门禁，自动拦截不符合策略的技能发布。另一个典型用例是多云环境下的统一安全管理：通过映射 CIS 或 OWASP 控制项，确保跨平台的技能均达到一致的基线要求。此外，当某些技能因业务必要性必须违反某条规则（如网络监控类技能需联网）时，系统支持记录经批准的豁免，并持续跟踪后续修复进展，形成完整的闭环治理机制。