泄露范围#

先盘点一下到底泄露了什么：

OAuth Client ID 本身不算 secret（它是公开的 identifier），但跟其他信息放在一起也不好看。真正危险的是前两个：OpenClaw gateway token 能完全控制我的 agent 网关，Bark key 能给我的手机推送任意通知。

清理 git 历史#

光从文件里删掉 token 不够。git log 里每一个历史 commit 都还留着明文。GitHub 的文档说得很清楚：仅仅 force push 新代码不会清除旧 commit，它们在服务器上还能通过 SHA 直接访问，大约 30 天后才会被垃圾回收——而且如果有 PR 或 issue 引用了这些 commit，甚至永远不会被回收。

用 git filter-repo 重写整个历史。先装工具：

1
brew install git-filter-repo

创建替换规则文件：

1
810a4849d0f1dee843d46371926fab2d7520b14a0ae156eb==>REDACTED_OPENCLAW_TOKEN
2
TwwEUMR9QCUU4jmFXnoFKK==>REDACTED_BARK_TOKEN

执行替换：

1
git filter-repo --replace-text /tmp/replacements.txt --force

1
Parsed 294 commits
2
New history written in 0.12 seconds; now repacking/cleaning...
3
Completely finished after 0.30 seconds.

294 个 commit 全部重写，0.3 秒搞定。git filter-repo 会自动删除 origin remote（防止你不小心 push 到错误的地方），需要手动加回来。

验证 token 确实从历史中消失了：

1
git log --all -p -S "810a4849d0f1dee843d46371926fab2d7520b14a0ae156eb"
2
# (无输出，干净了)

然后 force push：

1
git remote add origin https://github.com/StevenLi-phoenix/toolbox.git
2
git fetch origin
3
git push --force-with-lease origin master

用 --force-with-lease 而不是 --force，这样如果 remote 上有别人的新 commit 不会被覆盖。虽然这个仓库只有我一个人用，但养成习惯总没错。

WARNING

git filter-repo 重写历史后，所有 commit hash 都会改变。如果有人 clone 过这个仓库，他们的本地副本跟 remote 就不兼容了。对于多人协作的仓库，这是个大问题——需要通知所有人重新 clone。

第一次没删干净#

Push 完以为搞定了，结果发现 TOOLS.md 里还有刚轮换过的新 Bark token——我把旧 token 替换成了新的，但文件本身还在 git 追踪里。公开仓库里不应该有任何包含 token 的配置文件。

于是第二轮清理：

1
git rm --cached TOOLS.md IDENTITY.md
2
echo "TOOLS.md" >> .gitignore
3
echo "IDENTITY.md" >> .gitignore
4
echo "memory/" >> .gitignore
5
# ... 把所有 agent 配置文件都加进去
6
git commit -m "fix: remove TOOLS.md/IDENTITY.md from repo, add .gitignore"
7
git push origin master

但这还不够——TOOLS.md 的历史版本里还是有 token。于是第三次跑 git filter-repo，这次直接从历史中删除整个文件：

1
git filter-repo --path TOOLS.md --path IDENTITY.md --path HEARTBEAT.md \
2
  --path AGENTS.md --path SOUL.md --path USER.md \
3
  --path MEMORY.md --path memory/ \
4
  --invert-paths --force

--invert-paths 的意思是”保留除了这些路径以外的所有东西”。这次彻底了。

教训：清理 secret 的时候，要想清楚包含 secret 的文件本身是否也应该从历史中移除，而不是只替换文件内容里的 token 字符串。

四台机器的 Token 轮换#

光清 git 历史不够，泄露的 token 必须立即作废。问题是这些 token 散布在四台机器上。

1
"auth": {
2
  "mode": "token",
3
  "token": "810a4849d0f1dee843d46371926fab2d7520b14a0ae156eb"
4
}

1
openssl rand -hex 24
2
# 83c434194a8871d11acf4deb76377498120748047d7bbf52
3

4
sed -i '' 's/810a4849.../83c43419.../g' ~/.openclaw/openclaw.json

1
/usr/local/bin/openclaw gateway restart

1
# Linux (trackpi)
2
sed -i 's/OLD_TOKEN/NEW_TOKEN/g' file
3

4
# macOS (本机, mini)
5
sed -i '' 's/OLD_TOKEN/NEW_TOKEN/g' file

防护：让同样的事不再发生#

清理完了，但如果不加防护，下次 agent 又会把 token 写进文件然后推上去。

1
#!/usr/bin/env bash
2
set -euo pipefail
3

4
if git diff --cached --diff-filter=d 2>/dev/null | grep -Eiq \
5
  'sk-[a-zA-Z0-9_-]{20,}|token\s*[:=]\s*[\"'\'']\s*[a-f0-9]{32,}|AKIA[0-9A-Z]{16}|ghp_[a-zA-Z0-9]{36}'; then
6
  echo 'BLOCKED: Staged changes appear to contain secrets.' >&2
7
  exit 1
8
fi

1
chmod +x ~/.git-hooks/pre-commit
2
git config --global core.hooksPath ~/.git-hooks

1
{
2
  "matcher": "Bash",
3
  "hooks": [{
4
    "type": "command",
5
    "command": "jq -r '.tool_input.command' | grep -Eq '\\bgit\\s+(commit|add)\\b' && { staged=$(git diff --cached ...); ... exit 2; } || exit 0"
6
  }]
7
}

根因：贪便宜换模型#

整个过程花了一个多小时，但最大的教训不是”别把 token 推到 GitHub”——这谁都知道。

真正的根因是换模型。

这个 toolbox 仓库之前一直是 Claude Opus 4.6 在维护的。Opus 做事稳，项目结构干净，该 .gitignore 的文件会 .gitignore，不该 commit 的东西不会 commit。后来 OpenClaw 的默认模型切到了 Codex 5.4-mini——便宜，快，token 用量低。寻思着这不就是个往仓库里加 HTML 文件的简单活吗，用个便宜模型跑跑得了。

结果就出事了。

Codex 5.4 干了这些好事：创建了递归的 toolbox/toolbox/ 目录结构（仓库套仓库），把 agent 的 memory/ 对话记录、SOUL.md、AGENTS.md 这些本地配置文件全推到了公开仓库里，TOOLS.md 里硬编码了 API token 也没加 .gitignore。这些问题 Opus 不会犯——不是说 Opus 完美，而是它对项目结构和安全边界有基本的判断力。

便宜模型在简单任务上看着没问题，但在需要判断力的地方——“这个文件该不该被 git 追踪”、“这段内容里有没有 secret”、“这个目录结构合不合理”——差距就出来了。省下的模型费用，最后全花在了清理上，还搭上一个多小时的人工时间。

AI agent 生成的文件默认没有安全边界。 Agent 把对话记录（包含明文 token）写到了工作目录的 memory/ 文件夹里，而这个目录恰好在一个 git 仓库内。agent 不知道也不关心这个目录是不是 git 追踪的——它只管写文件。能力强的模型至少会注意到这一点，能力弱的模型连想都不会想。

防护的层次应该是：

1. .gitignore — 最基本的，agent 生成的配置文件不应该被追踪
2. git pre-commit hook — 第二道防线，commit 时扫描 secret 模式
3. Agent prompt 约束 — 软约束，告诉 agent 不要在可能被追踪的文件里写 secret
4. GitGuardian — 最后一道防线，万一前面都没挡住，至少能告诉你出事了

这次是 GitGuardian 兜底了。如果没有它的邮件，这个 token 可能还在 GitHub 上躺着。

另外一个经验：清理 secret 的时候，不要只想着”替换 token 字符串”。要退一步想，包含 token 的整个文件是否应该从仓库中移除。我第一轮只替换了 token 文本，第二轮才意识到 TOOLS.md 本身就不该在公开仓库里，第三轮才把它从 git 历史中彻底删除。三次 git filter-repo，三次 force push。本来一次就能搞定的事情。

所以结论很简单：涉及安全边界的任务，别用便宜模型。省下的钱不够你擦屁股的。