1. 密钥轮换不是“定时删旧建新”，而是上下文感知的主动防御
API 密钥泄露在企业级系统中早已不是小概率事件。去年我们团队接手一个金融类 SaaS 平台的 DevSecOps 改造时，安全扫描报告里赫然列出 17 处硬编码密钥——其中 9 个存在于 CI/CD 流水线脚本中，3 个埋在前端构建产物里，还有 2 个竟出现在 GitHub Actions 的公开 workflow 文件中。更讽刺的是，这些密钥全被标记为“已过期 180 天以上”，但没人触发过轮换。运维同事的原话是：“轮换？我们改完配置就发版，谁记得去删旧密钥？”
这暴露了一个根本矛盾：密钥生命周期管理的本质不是时间驱动，而是上下文驱动。传统方案依赖 cron 定时任务或人工 checklist，本质是把安全动作降级为运维操作；而 OpenClaw 的密钥轮换机制，是把密钥当作有状态的、可被推理的实体来对待——它能识别“这个密钥正在被哪个服务调用”、“该调用是否符合最小权限原则”、“下游服务是否已准备好接收新密钥”，再决定是否执行轮换、如何灰度切换、失败后如何回滚。
我试过三种主流实现路径：
- 直接用 HashiCorp Vault 的 rotation policy：配置简单，但每次轮换都要手动更新所有服务的 secrets 注入逻辑，CI/CD 流水线要重写，上线窗口从 5 分钟拉长到 40 分钟；
- 基于 Kubernetes External Secrets 的自动同步：解决了部分服务的密钥注入，但对遗留的 Java Spring Boot 应用（依赖 bootstrap.yml 加载）和 Python Flask 应用（环境变量注入）兼容性极差，且无法感知业务层的调用链路；
- Op
