macOS IPC 架构

当前模型：一个本地 Unix socket 连接节点主机服务到 macOS 应用，用于执行审批和 system.run。openclaw-mac 调试 CLI 用于发现/连接检查；agent 操作仍通过 Gateway WebSocket 和 node.invoke 流转。UI 自动化使用 PeekabooBridge。

目标

• 单个 GUI 应用实例，拥有所有需要 TCC 的工作（通知、屏幕录制、麦克风、语音识别、AppleScript）。
• 小型自动化界面：Gateway + node 命令，加上 PeekabooBridge 用于 UI 自动化。
• 可预测的权限：始终相同的签名 bundle ID，由 launchd 启动，使 TCC 授权持久化。

工作原理

Gateway + 节点传输

• 应用运行 Gateway（本地模式）并作为节点连接到它。
• Agent 操作通过 node.invoke 执行（例如 system.run、system.notify、canvas.*）。

节点服务 + 应用 IPC

• 一个无头节点主机服务连接到 Gateway WebSocket。
• system.run 请求通过本地 Unix socket 转发到 macOS 应用。
• 应用在 UI 上下文中执行命令，如需要则提示确认，并返回输出。

架构图（SCI）：

Agent -> Gateway -> Node Service (WS)
                     |
                     v
               IPC (UDS + token + HMAC + TTL)
                     |
                     v
               Mac App (UI + TCC + system.run)

PeekabooBridge（UI 自动化）

• UI 自动化使用名为 bridge.sock 的单独 UNIX socket 和 PeekabooBridge JSON 协议。
• 主机偏好顺序（客户端侧）：Peekaboo.app → Claude.app → OpenClaw.app → 本地执行。
• 安全：桥接主机要求允许的 TeamID；DEBUG-only 的同 UID 逃逸通道由 PEEKABOO_ALLOW_UNSIGNED_SOCKET_CLIENTS=1（Peekaboo 约定）保护。
• 参阅：PeekabooBridge 使用 了解详情。

操作流程

• 重启/重建：

SIGN_IDENTITY="Apple Development: <你的名称> (<TeamID>)" scripts/restart-mac.sh

• 终止现有实例

• Swift 构建 + 打包

• 写入/引导/启动 LaunchAgent

• 单实例：如果另一个具有相同 bundle ID 的实例正在运行，应用会提前退出。

安全加固说明

• 优先要求所有特权界面的 TeamID 匹配。
• PeekabooBridge：PEEKABOO_ALLOW_UNSIGNED_SOCKET_CLIENTS=1（仅 DEBUG）可能允许同 UID 调用者进行本地开发。
• 所有通信保持仅本地；不暴露网络 socket。
• TCC 提示仅来自 GUI 应用 bundle；在重新构建时保持签名 bundle ID 稳定。
• IPC 加固：socket 模式 0600、token、peer-UID 检查、HMAC 挑战/响应、短 TTL。