SecretRef Credential Surface

这页纸在讲一个叫“SecretRef”的东西。你可以把它想成一个专门放“秘密钥匙”的小口袋。这些“秘密钥匙”是你自己从外面带来的，不是玩具箱自己做的。这页纸就是告诉你，哪些地方可以放这个小口袋。

哪些“秘密钥匙”可以放进小口袋？ 清单很长，但别担心，它们都放在两个主要的文件里：openclaw.json 和 auth-profiles.json。你可以用 secrets configure、secrets apply 和 secrets audit 这几个命令来管理它们。下面是一些例子：

1. 给模型用的钥匙：比如 models.providers.*.apiKey。这就像给一个会说话的机器人输入密码。
2. 给聊天频道用的钥匙：比如 channels.telegram.botToken。这就像给你在 Telegram 上的机器人一个特别通行证。
3. 给搜索工具用的钥匙：比如 tools.web.search.apiKey。这就像给你一个能上网查资料的望远镜一个启动密码。

这里有一些要注意的事情哦：

• 如果你想在 auth-profiles.json 文件里放钥匙，需要先告诉玩具箱是哪个小机器人在用，所以要设置好 agentId。
• 对于上网搜索 (tools.web.search)：
  • 如果你指定了用哪个望远镜（设置了 tools.web.search.provider），那就只用那个望远镜的钥匙。
  • 如果你让玩具箱自己选望远镜（没有设置 tools.web.search.provider），那么通用的钥匙 (tools.web.search.apiKey) 和所有望远镜的钥匙都可能被用到。

哪些“秘密钥匙”不能放进这个小口袋？ 有些钥匙是玩具箱自己做的，或者会自己变来变去，或者像一次性的门票，这些就不能放进这个固定的小口袋。比如：

• commands.ownerDisplaySecret (这是显示主人秘密的命令)
• channels.matrix.accessToken (这是 Matrix 聊天频道的临时门票)
• hooks.token (这是钩子的临时令牌)
• 还有很多名字里有 oauth、sessionKey、pushToken、webhookToken 的钥匙。

记住，这个小口袋只放你带来的、不会自己变的秘密钥匙。玩具箱自己做的、会变的钥匙，要放在别的地方。