jiulingyun/openclaw-cn v0.1.7

Release v0.1.7

on GitHub

• 飞书能力增强：新增 IM/任务/日历/表格工具与持久化命令队列恢复（#447，感谢 @dragonforce2010）
• Doubao Embedding Provider：Memory LanceDB 新增 Doubao 向量模型支持（#448，感谢 @yanghua）
• Coding Plan 支持：新增阿里云百炼 Coding Plan 选项，支持 OpenAI/Anthropic 兼容协议
• Kimi Coding Plan 支持：新增 Moonshot AI (Kimi) Coding Plan 配置选项，使用 OpenAI 兼容协议（base URL: https://api.kimi.com/coding/v1，默认模型: kimi-for-coding）
• 火山引擎 Coding Plan 支持：新增火山引擎 Coding Plan 配置选项，使用 OpenAI 兼容协议（base URL: https://ark.cn-beijing.volces.com/api/coding/v3），支持 doubao-seed-2.0-code、glm-4.7、deepseek-v3.2、kimi-k2-thinking、kimi-k2.5 等模型
• 技能加载安全钩子修复：before_skills_load 处理安全阻断与配置一致性修复（#452，感谢 @qqdxyg）
• Memory LanceDB 云存储支持：新增 storageOptions 配置项，支持 S3/GCS 等云对象存储后端（#454，感谢 @ddupg）
• Memory LanceDB 本地 Embedding：新增 local embedding provider，基于 node-llama-cpp 支持 GGUF 格式本地向量模型，默认模型 bge-small-zh-v1.5（#459，感谢 @ddupg）

bug修复

• OTEL 诊断导出修复：更新 OTEL 导出协议与指标/trace 统计，完善诊断事件处理（#324，感谢 @Ronald-Kong99）
• Control UI 配置保存与回显修复：修复 config.set 写入时的 redaction 恢复逻辑导致的保存失败，并修复代理模型下拉框不回显已保存模型的问题
• 飞书图片发送修复：修复 Feishu SDK 因 form-data 要求 ReadStream 导致 Buffer 上传失败的问题（#455）
• macOS 网关安装修复：修复 launchctl bootstrap 错误 125，增加 bootout by service identifier 确保可靠卸载已有 LaunchAgent
• Ollama 模型崩溃修复：修复 AssistantMessageEventStream is not defined 导致 Ollama 本地模型无法使用的问题，原因是 tsc 编译时错误地将值导入当作类型导入吞掉（#458，感谢 @Yishanjiu-3386）

上游同步（批量合并 40 个 Copilot PR）

🔒 安全加固

• 插件运行时命令执行禁用：禁用插件运行时的命令执行原语（#228，上游 openclaw#20828）
• LINE 入站媒体临时文件命名加固：防止路径遍历攻击（#235，上游 openclaw#20792）
• 路径遏制与 SSRF IPv4 加固：移植 owner-only tool policy（#246）
• 安全修复批量移植：移植 5 个安全修复 commit v2026.2.17→v2026.2.19（#252）
• Hono 升级至 4.11.10：启用 timing-safe 认证加固（#279）
• 沙箱浏览器 --no-sandbox 改为 opt-in：默认启用沙箱保护（#289）
• P0 安全加固：移植上游 v2026.2.19→v2026.2.21 安全补丁（#295）
• SHA-1 迁移至 SHA-256：合成 ID 使用更安全的哈希算法（#297）
• Shell 包装审批持久化：持久化内部命令用于 shell-wrapper 审批（#337，上游 98b2b16）
• RFC2544 SSRF 阻断：移植 SSRF 阻断与 monitor typing 修复（#367）
• 安全批量移植 v2026.2.21→v2026.2.23：移植 5 个安全 commit（#395）
• SSRF 导航守卫与扩展中继认证：移植浏览器 SSRF 导航守卫、扩展中继认证、IPv6 回环测试（#262）

🐛 Bug 修复

• Agent 图像清理与工具 schema 修复：移植 v2026.2.15→v2026.2.17（#169）
• Config/Telegram 修复：移植上游配置与 Telegram 修复（#173）
• Token 用量报告隔离：隔离最后一轮 total 避免累计错误（#175）
• 浏览器端口映射：追踪原始端口映射以处理 EADDRINUSE 回退（#177）
• Cron 自旋循环修复：防止同秒完成自旋循环，支持 bindings accountId 解析（#179）
• Embedding Manager 类型收紧：收紧 embedding manager 继承类型（#189）
• Session threadId 泄漏修复：防止过时 threadId 泄漏到非线程会话（#193）
• Prompt 缓存稳定性恢复：将 per-turn ID 移至 user context 恢复 prompt 缓存稳定性（#301）
• Cron maxConcurrentRuns 修复：在 timer loop 中正确遵守 maxConcurrentRuns（#307）
• Heartbeat 修复：移植 3 个修复 v2026.2.19→v2026.2.21（#315）
• TUI 入站元数据剥离：剥离用户消息中的入站元数据块（#322，上游 openclaw#22345）
• gateway.real_ip_fallback_enabled 条件严重性修复（#353，上游 openclaw#23428）
• Gemini thoughtSignatures 清理：为原生 Google provider 清理 thoughtSignatures（#355）
• SSRF dispatcher family fallback：为 pinned SSRF dispatcher 启用 family fallback（#365）
• 配对恢复清理与认证同步测试重构（#345）

📖 文档

• AGENTS.md GHSA 章节：新增安全公告分类要求（#218）
• SECURITY.md canvas 网络可见性澄清（#222）
• SECURITY.md sessionKey 信任边界澄清（#333）
• 安全公告分类提醒：移植到 AGENTS.md（#331）

📦 其他

• iOS Talk redaction 与 ATS 加固：移植 v2026.2.15→v2026.2.17（#165）
• Telegram 冲突提交移植：移植 3 个 P1 commit v2026.2.19→v2026.2.21（#321）
• Agents 冲突提交移植：移植 5 个 commit v2026.2.17→v2026.2.19（#260）
• 测试去重：lifecycle、oauth、prompt-limit fixtures 去重（#335）
• Changelog 条目移植：webchat 命令认证修复（#163）、飞书路径遍历加固（#220）、v2026.2.18 安全修复（#224）、canvas auth 加固（#277）