Moltbot：本地化自动化代理的系统级实践与可信执行设计

1. 项目概述：这不是一个AI助手测试，而是一场持续7天的“数字共居”实验

我给一个叫Moltbot的自动化工具开了7天的电脑全权限——不是管理员密码那种象征性授权，而是真正让它能读写文件、调用系统API、监听剪贴板、截屏、操作浏览器、甚至在后台启动Python脚本和Shell命令。它没有图形界面，不生成对话气泡，也不假装自己是“助手”。它更像一个沉默的合作者：你告诉它“每天上午9:15把上周五的销售报表PDF转成Excel，发给财务组邮箱，再把原始文件归档到‘Q3-Archive’文件夹”，它就照做；你写一句“如果Outlook收件箱里出现带‘紧急-服务器宕机’字样的邮件，立刻弹窗提醒+播放警报音+截图当前桌面”，它就守着；你丢过去一段含乱码的OCR识别结果，它能自动清洗、补全缺失字段、按预设模板重排格式，存为结构化CSV。关键词：Moltbot、自动化代理、本地运行、系统级权限、行为可审计、零云端传输。这不是SaaS订阅服务，也不是ChatGPT插件，它是一段你下载后部署在自己Windows/macOS机器上的轻量级服务进程，所有逻辑、数据、决策全部发生在你自己的硬盘上。适合谁？三类人最该试试：第一类是每天重复处理20+封邮件、5份报表、3次数据搬运的运营/行政/财务岗，他们缺的不是时间，而是不被监控、不传云端、不依赖网络的“可信执行体”；第二类是技术背景不强但急需摆脱手动操作的个体从业者——自由设计师要批量重命名+加水印+上传图床，小电商主理人要同步多平台库存+抓取竞品价格+生成周报，他们需要的是“说人话就能跑通”的确定性，而不是调试API密钥的挫败感；第三类是安全敏感型用户：法务要自动脱敏合同中的身份证号和银行卡号再存档，医疗从业者需将患者问诊记录按隐私规则自动分拣加密，他们宁可牺牲一点功能丰富度，也要确保每一字节都不离开本地。这7天，我没让它写诗、不教它推理、不喂它语料库——我只做一件事：把它当成一个刚入职、手速极快、从不抱怨、绝对服从指令但必须全程录像的虚拟同事，看它在真实工作流中到底卡在哪、信得过哪、哪些“我以为很简单”的事，其实藏着连资深工程师都容易忽略的系统陷阱。

2. 核心设计思路：为什么选择Moltbot而非RPA或自建脚本？

2.1 拒绝“黑盒式RPA”的三个硬伤

市面上主流RPA工具（如UiPath、Automation Anywhere）在企业端确实强大，但落到个人桌面，立刻暴露三大反人性缺陷。第一是环境绑定过重：UiPath Studio要求安装.NET Framework 4.8、Visual C++ 2015-2022运行库、特定版本的ChromeDriver，我在一台刚重装系统的MacBook Pro上折腾了47分钟才让第一个“点击按钮”流程跑通——而Moltbot的macOS安装包仅12MB，双击拖入Applications文件夹即完成，首次启动时自动检测并静默安装Python 3.11（若未预装）、tesseract OCR引擎、ffmpeg视频处理库，整个过程无任何弹窗、无需sudo密码。第二是权限模型不可信：UiPath默认以“远程桌面协议”方式模拟鼠标键盘，这意味着它必须获得系统级辅助功能权限（macOS的“辅助功能”列表里勾选，Windows的“允许应用控制你的设备”），一旦开启，理论上任何已授权应用都能截获你的全部键盘输入——包括密码、银行卡号。而Moltbot采用“进程注入+事件钩子”双轨机制：对浏览器操作，它直接向Chrome/Edge进程发送IPC消息（类似浏览器扩展的通信方式），不走全局键盘监听；对文件操作，它通过操作系统原生API（macOS的FSEvents、Windows的ReadDirectoryChangesW）监听目录变更，而非轮询扫描——这意味着它根本不需要“辅助功能”权限，我的Mac系统偏好设置里完全找不到它的名字。第三是审计能力形同虚设：UiPath的“流程日志”默认只记录“步骤开始/结束”，不保存实际操作参数。比如你配置“输入文本到用户名框”，日志里只写“Input Text Action Executed”，而Moltbot每条指令执行前，会自动生成带哈希值的JSON快照：{"action":"type_text","target":"login-username-field","value":"admin_2024Q3","timestamp":"2024-06-12T09:23:15.882Z","process_id":12487}，并强制写入本地SQLite数据库（路径可自定义，我设在~/Library/Application Support/Moltbot/audit.db）。7天实验结束，我导出全部12,843条操作记录，用SQL查“所有涉及密码字段的操作”，结果为0——因为它压根不允许在指令中明文写密码，必须通过环境变量或密钥环（Keychain/Windows Credential Manager）调用。

2.2 比自建Python脚本高两个维度的工程价值

有人会说：“不就是自动化？我用Python+PyAutoGUI+schedule库也能写。”这话没错，但忽略了一个残酷现实：90%的自建脚本死于维护成本，而非开发难度。我用Python写过一个“自动整理下载文件夹”的脚本，逻辑很简单：遍历Downloads目录，按文件后缀分类移动。但上线三天后崩溃了——因为同事发来一个文件名含emoji的PDF（📄_Q2财报_final_v2.pdf），os.listdir()在Python 3.9以下版本会抛UnicodeDecodeError；第五天又崩了——因为某软件更新后，生成的临时文件以“.part”结尾，脚本误判为完整文件提前移动，导致下载中断。而Moltbot内置了三层容错：第一层是文件名沙盒，所有路径操作前先通过ICU库标准化Unicode（把不同编码的emoji转为统一UTF-8序列）；第二层是状态感知，它不依赖文件后缀判断类型，而是调用libmagic库读取文件魔数（Magic Number），哪怕你把.jpg改成.txt，它照样识别为JPEG；第三层是原子操作锁，对正在被其他进程写入的文件（如Chrome下载中的.part文件），它会持续监测文件大小变化，直到10秒内无变动才视为完成。更关键的是指令声明式语法。对比一下：

• 自建脚本需要写23行Python（含异常处理、日志、配置读取）：

import os, shutil, logging, time from pathlib import Path CONFIG = {"pdf": "~/Documents/PDFs", "img": "~/Pictures"} def move_files(): for f in Path("~/Downloads").expanduser().iterdir(): if f.is_file() and not f.name.startswith('.'): ext = f.suffix.lower() if ext in CONFIG: dest = Path(CONFIG[ext]).expanduser() dest.mkdir(exist_ok=True) try: shutil.move(str(f), str(dest / f.name)) except Exception as e: logging.error(f"Move failed {f}: {e}")

• Moltbot只需一条YAML指令（存为move_rules.yaml）：

triggers: - type: file_created path: ~/Downloads debounce: 10s actions: - type: move_by_magic source: "{trigger.path}" rules: - mime: application/pdf destination: ~/Documents/PDFs - mime: image/* destination: ~/Pictures on_failure: log_and_notify

区别在哪？前者是“怎么做”，后者是“做什么”。当业务需求变更（比如新增“把发票PDF单独归档到~/Accounting/Invoices”），改Python脚本要动逻辑、测边界、修bug；改Moltbot只需在rules里加一行YAML，重启服务即生效。这省下的不是代码行数，而是每次需求迭代时，你被迫切换到开发者思维、打断工作流、面对报错信息的心理损耗。

2.3 “本地运行”不是营销话术，而是架构级取舍

Moltbot官网首页写着“100% Local, Zero Cloud”，很多人以为这只是隐私宣传。实际上，这是它整个架构的基石决策，直接决定了它能解决什么问题、不能解决什么问题。它的核心进程（moltbotd）是一个常驻后台的守护进程，所有指令解析、条件判断、动作执行都在本地内存中完成。当你在Web UI（http://localhost:8080）配置一个“监控GitHub仓库更新”的流程时，它不会去调用GitHub API——而是定期用curl请求仓库的atom.xml feed（https://github.com/username/repo/commits.atom），解析XML获取最新commit hash，再与本地缓存比对。好处是：即使你断网、GitHub宕机、或公司防火墙屏蔽API，它依然能工作（只是暂停更新检测）。坏处是：它无法实现“跨设备协同”，比如你在办公室电脑触发一个流程，回家后想在笔记本上继续——这恰恰是它的设计哲学：专注单机场景的深度自动化，拒绝为虚假的“云协同”牺牲本地确定性。这种取舍在7天实验中暴露出关键价值：第3天凌晨2点，我收到一条Moltbot发来的系统通知（非邮件！是macOS原生通知中心弹窗）：“检测到192.168.1.105（NAS）连接中断，已暂停备份任务，将在重连后自动续传”。这个通知不是通过互联网推送的——而是Moltbot每30秒执行一次ping -c1 192.168.1.105，发现超时后，直接调用macOS的osascript -e 'display notification \"...\" with title \"Moltbot Alert\"'。整个链路不经过任何外部服务器，延迟低于200ms，且100%可控。而所有标榜“智能云同步”的同类工具，在网络抖动时要么疯狂重试耗尽CPU，要么静默失败让你以为流程还在运行——这才是真实工作场景中最致命的“信任危机”。

3. 7天实操全流程：从权限授予到行为复盘的逐日记录

3.1 第1天：安装、授权与首个“无感”流程（耗时22分钟）

安装过程毫无波澜：下载macOS .dmg镜像 → 挂载 → 拖入Applications → 双击启动 → 弹出系统提示“Moltbot需要访问您的‘下载’文件夹”，点击“选项”→ 勾选“下载”→ 点击“好”。这里有个关键细节：它没要求“全盘访问”，只申请明确列出的目录（下载、文档、桌面、图片、音乐），且每个目录权限可单独开关。我打开http://localhost:8080，Web UI简洁得像2005年的网页——没有仪表盘、没有数据图表，只有三个大按钮：“+ New Flow”、“View Logs”、“Settings”。我点击“+ New Flow”，选择模板“Auto-Organize Downloads”，它自动填充YAML：

triggers: - type: file_created path: ~/Downloads debounce: 5s actions: - type: move_by_extension source: "{trigger.path}" rules: - extension: ".pdf" destination: ~/Documents/PDFs - extension: ".jpg,.jpeg,.png" destination: ~/Pictures - extension: ".zip,.7z,.tar.gz" destination: ~/Downloads/Archives on_failure: skip

我唯一修改是把PDF目标路径从~/Documents/PDFs改为~/Documents/Work-PDFs（避免和私人PDF混在一起）。点击“Save & Enable”，流程激活。为测试，我故意在Downloads里放了一个test.pdf，3秒后，它消失了——出现在Work-PDFs文件夹。我打开“View Logs”，看到首条记录：[2024-06-12 09:47:22] INFO flow 'auto-organize-downloads': moved /Users/john/Downloads/test.pdf → /Users/john/Documents/Work-PDFs/test.pdf。没有惊喜，但有一种久违的踏实感：它真的在干活，且每一步都留痕。> 提示：首次运行时，Moltbot会创建~/Library/Application Support/Moltbot/目录，里面包含config.yaml（全局配置）、flows/（所有流程YAML）、logs/（滚动日志文件）、audit.db（操作审计库）。建议立即将此目录加入Time Machine备份——因为它是你所有自动化逻辑的唯一源码。

3.2 第2天：处理“半结构化数据”的破局点（耗时3小时）

痛点来了：每周一上午，我要从市场部发来的Word文档《竞品周报.docx》里，手动复制A公司价格、B公司促销、C公司新品三个表格，粘贴到Excel总表对应Sheet。文档格式混乱：表格有时嵌在文本框里，有时被拆成多页，Word里还混着修订痕迹。传统方案是Python-docx库解析，但遇到文本框就跪——它只能读正文，读不到文本框内容。Moltbot的解法是“视觉+语义”双通道：先用tesseract OCR对文档每页截图进行文字识别，再用正则匹配关键字段。我新建流程：

triggers: - type: file_modified path: ~/Documents/Reports/竞品周报.docx debounce: 30s actions: - type: extract_text_with_ocr source: "{trigger.path}" pages: "all" ocr_lang: "chi_sim+eng" # 中英双语识别 output_format: "json" - type: parse_structured_data input: "{previous.output}" rules: - field: "a_company_price" pattern: "A公司.*?价格.*?([\\d,]+\\.\\d{2})" - field: "b_company_promo" pattern: "B公司.*?促销.*?(.+?)\\n" - field: "c_company_new" pattern: "C公司.*?新品.*?(.+?)\\n" output_to: "~/Documents/Reports/竞品数据.json" - type: update_excel excel_path: ~/Documents/Reports/总表.xlsx sheet_name: "WeeklyData" data_source: "~/Documents/Reports/竞品数据.json" mapping: A_Price: a_company_price B_Promo: b_company_promo C_New: c_company_new

关键突破在extract_text_with_ocr：它不是简单调tesseract，而是先用libreoffice命令行将.docx转为PDF（保留原始布局），再用pdf2image将PDF每页转为高DPI PNG，最后送入tesseract。第2天下午，我故意把《竞品周报.docx》里A公司价格改成“¥1,299.00（限时7折）”，Moltbot在17秒后生成了竞品数据.json，内容是{"a_company_price": "1299.00", "b_company_promo": "满300减50", "c_company_new": "无线降噪耳机Pro"}。Excel总表自动更新。我对比手动复制结果，准确率100%。> 注意：OCR精度高度依赖原始文档质量。我实测发现，Word文档若用“微软雅黑”字体、字号≥10.5pt，识别错误率<0.3%；若用“华文细黑”或字号<9pt，错误率飙升至12%。解决方案不是调参，而是流程前置：在extract_text_with_ocr前加一步convert_to_pdf，指定libreoffice导出时强制使用“DejaVu Sans”字体——这是tesseract训练时用的基准字体，兼容性最佳。

3.3 第3天：应对“动态UI”的鲁棒性挑战（耗时5小时，含2次失败重试）

目标：自动登录内部CRM系统（基于Vue.js的SPA），抓取今日新增客户列表，导出为CSV。难点在于：CRM登录页有验证码（非图片，是前端JS生成的算术题，如“7+3=？”），且客户列表页的DOM结构随Vue组件加载异步变化，传统XPath定位必失效。Moltbot的对策是“行为驱动”而非“元素驱动”：它不找某个ID为#customer-table的div，而是监听页面网络请求。我录制操作：打开CRM → 输入账号密码 → 计算验证码 → 点击登录 → 等待URL变为/dashboard/customers→ 点击“导出CSV”按钮。Moltbot将此过程转为YAML：

triggers: - type: manual_trigger name: "Export CRM Customers" actions: - type: open_browser url: "https://crm.internal/login" browser: "chrome" - type: wait_for_element selector: "input[name='username']" timeout: 10s - type: fill_form fields: username: "env:CRM_USER" password: "env:CRM_PASS" - type: execute_js script: | // 解析验证码并填入 const q = document.querySelector('.captcha-question').textContent; const ans = eval(q.replace(/[^0-9+\-*/\s]/g, '')); document.querySelector('input[name="captcha"]').value = ans; - type: click_element selector: "button[type='submit']" - type: wait_for_url url: "https://crm.internal/dashboard/customers" timeout: 30s - type: wait_for_network request: "GET /api/v1/customers?date=today" timeout: 20s - type: execute_js script: | // 模拟点击导出按钮（绕过Vue响应式限制） const btn = document.querySelector('button[aria-label="Export CSV"]'); if (btn) btn.click(); - type: wait_for_download filename: "customers_today_*.csv" timeout: 60s destination: "~/Downloads/CRM-Exports/"

第3天上午第一次运行失败：wait_for_network超时。抓包发现，CRM后端把/api/v1/customers?date=today请求做了负载均衡，有时返回200，有时302跳转到/api/v1/customers?date=today&cache_bust=12345。我修改wait_for_network为：

wait_for_network: request: "GET /api/v1/customers" query_params: date: "today" timeout: 20s

Moltbot会自动匹配任意query参数组合，只要base URL和必要参数存在即视为命中。第二次运行成功，CSV准时出现在CRM-Exports文件夹。> 实操心得：execute_js是Moltbot最锋利的刀，但也最危险。我曾写错一行JS导致CRM页面白屏，必须手动杀掉Chrome进程。现在我的铁律是：所有execute_js脚本开头必加try{...}catch(e){console.error(e);}，并在on_failure中配置restart_browser——这样即使JS崩溃，浏览器也会自动重开，流程继续。

3.4 第4天：构建“条件反射式”实时响应（耗时1小时）

灵感来自一次真实事故：客户发来一封带附件的投诉邮件，标题含“严重BUG”，我正在开会没看到，2小时后才处理，导致SLA违约。Moltbot的解法是“邮件客户端深度集成”。我配置Outlook（macOS版）的规则：将所有含“BUG”、“ERROR”、“CRITICAL”的邮件，自动移入INBOX/Alerts文件夹。然后新建流程：

triggers: - type: mail_folder_changed client: "outlook" folder: "INBOX/Alerts" event: "new_message" actions: - type: extract_email_content source: "{trigger.message_id}" include_attachments: true - type: send_notification title: "🚨 高优先级邮件" body: "发件人：{email.from}\n主题：{email.subject}\n附件：{email.attachments.length}个" sound: "Glass" - type: run_command command: "osascript -e 'set volume output volume 80' -e 'beep 3'" - type: take_screenshot save_to: "~/Desktop/Alert-Screenshots/{now:%Y%m%d_%H%M%S}.png"

第4天下午3:17，测试邮件抵达，0.8秒后，Mac喇叭发出三声清脆蜂鸣，屏幕右上角弹出通知，桌面生成一张截图（内容是我的会议Zoom窗口，证明当时确实在忙）。我点开通知，看到发件人和主题，立刻切回Outlook处理。这个流程的价值不在“自动化”，而在“零延迟唤醒”——它把Moltbot从“后台工人”升级为“前台哨兵”。> 关键细节：mail_folder_changed触发器依赖Outlook的MAPI接口，macOS版Outlook需开启“允许其他应用控制Outlook”（系统偏好设置→安全性与隐私→辅助功能→勾选Outlook）。且Moltbot会每5秒轮询一次邮箱，这个间隔不可调低——这是微软API的硬性限制，调太频繁会被限流。所以它不是“实时”，而是“准实时”，但对人类响应已足够。

3.5 第5天：处理“跨应用粘贴”的终极难题（耗时4小时）

场景：从微信Mac版复制一段客户咨询（含换行、emoji、链接），粘贴到Notion数据库的“客户沟通”Page里，但Notion会把换行符转为空格，emoji显示为方块，链接不自动转超链接。人工处理要删空格、补emoji、手动加链接。Moltbot的方案是“剪贴板中间件”：

triggers: - type: clipboard_changed format: "text/html" actions: - type: transform_clipboard from: "html" to: "notion_md" rules: - replace: "<br>" with: "\n" - replace: "<a href=\"(.+?)\">(.+?)</a>" with: "[$2]($1)" - replace: "😊|😂|👍" with: ":smile:|:joy:|:thumbsup:" - type: paste_as_plain_text target_app: "Notion"

transform_clipboard是Moltbot的隐藏王牌。它不依赖Notion API（那需要OAuth授权且不稳定），而是劫持系统剪贴板：当检测到HTML格式剪贴板内容（微信复制的就是HTML），立即用内置的HTML解析器提取纯文本，再按规则转换。第5天我复制微信里的“今天下单享🎁8折！戳链接👉https://shop.com/deal”，Moltbot输出Markdown：“今天下单享:gift:8折！戳链接 https://shop.com/deal ”，Notion完美渲染。但首次失败：paste_as_plain_text没生效。排查发现，Notion的编辑框焦点管理特殊，需先模拟Cmd+Click聚焦，再粘贴。我修改为：

- type: focus_app app_name: "Notion" element_selector: "div[contenteditable='true']" - type: paste_as_plain_text target_app: "Notion"

focus_app用AppleScript查找Notion窗口中所有contenteditable=true的div，模拟鼠标点击使其获得焦点，再执行粘贴。从此，微信→Notion的粘贴，从12秒缩短到1.3秒。> 警告：clipboard_changed触发器有隐私风险。Moltbot默认只监听“text/plain”和“text/html”两种格式，禁用“image/png”等二进制格式——因为监听图片剪贴板意味着它能偷偷截取你复制的任何截图。我在config.yaml里显式写了clipboard_formats: ["text/plain", "text/html"]，这是强制安全基线。

3.6 第6天：故障注入与韧性验证（耗时6小时，含3次主动破坏）

为了测试Moltbot的“抗打击能力”，我设计了三重故障：
故障1：磁盘空间耗尽。我用dd if=/dev/zero of=/tmp/fill bs=1G count=10占满系统盘95%空间。预期：所有写入操作失败。结果：Moltbot在audit.db里记录[ERROR] disk full: no space left on device，但未崩溃，而是进入“休眠模式”——每5分钟检查一次磁盘，剩余空间>10%时自动恢复。
故障2：网络完全中断。拔掉网线，运行依赖网络的流程（如CRM登录）。结果：wait_for_url超时后，执行on_failure: notify_and_retry，弹出通知“CRM登录失败，30秒后重试”，并真的在30秒后重试。连续5次失败后，它改用离线策略：从~/Library/Caches/Moltbot/crm_cache.json读取昨日数据生成CSV（缓存策略在flow里预设）。
故障3：核心进程被kill。我用kill -9 $(pgrep moltbotd)强制终止。3秒后，launchd自动拉起新进程（macOS的plist配置里设了KeepAlive true），所有流程无缝续接，连file_created触发器的debounce计时器都未重置。
这天最大的收获是理解了它的“状态持久化”机制：所有流程的运行时状态（如debounce倒计时、retry次数、缓存时间戳）都存于/tmp/moltbot_state.json，且每10秒fsync一次。这意味着即使断电，重启后它也能从断点继续——不是靠运气，而是靠工程化的状态快照。> 经验：on_failure不是摆设。我给每个关键action都配了on_failure：网络操作配notify_and_retry，文件操作配log_and_skip，UI操作配restart_browser。这让我在第6天的破坏测试中，亲眼看到Moltbot像一只打不死的蟑螂，在各种绝境下找到活路。

3.7 第7天：审计、优化与权限回收（耗时1小时）

最后一天不做新功能，只做三件事：
1. 全量审计：导出audit.db为CSV，用Excel分析：

• 总操作数：12,843次
• 成功率：99.73%（35次失败，全是网络超时，无一次数据损坏）
• 最高频动作：move_by_extension（4,218次），extract_text_with_ocr（1,892次）
• 平均单次流程耗时：2.3秒（从触发到完成）
  2. 性能优化：发现extract_text_with_ocr占CPU峰值38%，原因是tesseract默认用4线程。我在config.yaml里加ocr_threads: 2，CPU占用降至19%，耗时仅增加0.4秒/页——对每日200页的OCR任务，总耗时反而减少（因系统调度更平滑）。
  3. 权限回收：在系统设置里取消Moltbot的“辅助功能”权限（它其实没用到，但首次安装时系统要求勾选），并删除~/Library/Application Support/Moltbot/目录。Moltbot进程自动退出，无残留。
  7天结束，我得到的不是一份炫技报告，而是一张清晰的能力地图：它擅长处理确定性高、规则明确、IO密集型的任务（文件整理、数据提取、邮件响应），但在需要复杂决策、模糊匹配、长时记忆的场景（如“根据客户历史行为预测投诉倾向”）仍需人工介入。它不是AI，而是AI时代的“确定性执行引擎”。

4. 关键技术细节与避坑指南：那些官网不会写的真相

4.1 权限模型的底层实现（macOS版深度解析）

Moltbot在macOS上的权限获取，远比表面看到的“勾选下载文件夹”复杂。它实际用了三套并行机制：

• File Provider Extension：这是它获得目录访问权的核心。Moltbot安装时，会注册一个com.moltbot.fileprovider的Extension，该Extension在~/Library/FileProvider/下创建符号链接，指向~/Library/Application Support/Moltbot/。系统通过FileProvider API向Extension发起读写请求，Extension再转发给主进程。这意味着：即使你取消了“下载”文件夹的权限，只要Extension存在，Moltbot仍能通过FileProvider读取该目录——但此时它会记录[WARN] FileProvider access denied for ~/Downloads, falling back to legacy method，并尝试用NSFileManager的contentsOfDirectoryAtPath:error:（需用户授权）。
• Accessibility API：仅用于极少数场景，如click_element在某些Electron应用中失效时，作为备选方案调用AXUIElementPerformAction(kAXPressAction)。它不会监听键盘，只在需要模拟点击时短暂启用。
• Screen Recording Permission：仅当启用take_screenshotaction时才请求。Moltbot会检测是否已授权，未授权则跳过该action并记录警告，绝不强行弹窗——这是苹果审核的红线。

实操技巧：若某流程突然无法访问文件，请先检查FileProvider状态。终端执行ls -la ~/Library/FileProvider/，应看到moltbot -> /Users/xxx/Library/Application Support/Moltbot。若链接损坏，删除后重启Moltbot即可重建。

4.2 OCR引擎的精度调优实战参数

Moltbot内置tesseract 5.3.3，但默认配置对中文支持极差。我通过7天测试，总结出四组黄金参数：

ocr_config: default: oem: 1 psm: 6 lang: "chi_sim+eng" high_dpi: dpi: 300 table_mode: preserve_interword_spaces: true

然后在flow中引用：- type: extract_text_with_ocr, config: "table_mode"。> 警告：--psm 1（自动页面分割）在Moltbot中禁用，因为它会导致多列文本错乱。官方文档没写，但源码注释明确说“PSM 1 causes catastrophic layout failure on multi-column docs, use PSM 6 always”。

4.3 流程调试的“三阶断点法”

Moltbot没有GUI调试器，但提供了比IDE更高效的日志断点：

• L1断点（触发级）：在triggers块末尾加debug: true，它会在触发时打印[DEBUG] trigger matched: file_created at /path/to/file，并暂停1秒，给你时间attach debugger。
• L2断点（动作级）：在任意action后加breakpoint: true，执行完该action后，进程会sleep 5秒，并在日志写[BREAKPOINT] paused after action 'move_by_extension'。此时你可以用sqlite3 ~/Library/Application Support/Moltbot/audit.db "SELECT * FROM actions WHERE id=(SELECT MAX(id) FROM actions);"查最后一条操作详情。
• L3断点（数据级）：在actions中插入- type: log_data, data: "{previous.output}"，它会把上一个action的输出JSON格式化打印到logs/debug.log。这对调试parse_structured_data的正则匹配极其有效——你能直接看到tesseract输出的原始JSON，确认pattern是否写错。

我的调试口诀：先L1确认触发正常，再L2确认动作执行，最后L3确认数据流转。7天里，90%的问题在L1就定位了——比如第4天Outlook流程不触发，L1日志显示trigger skipped: folder INBOX/Alerts not found，立刻意识到Outlook规则没生效。

4.4 安全边界与不可逾越的红线

Moltbot的安全设计有明确禁区，这是它值得信赖的根基：

• 绝对禁止网络外呼：所有run_commandaction执行的shell命令，都会被Moltbot的sandbox模块拦截，若命令含curl、wget、ssh、nc等网络工具，直接报错[SECURITY] network command blocked: curl。它只允许osascript、open、cp、mv等本地命令。
• 环境变量隔离：env:CRM_USER这类引用，Moltbot会从~/Library/Application Support/Moltbot/.env读取，且该文件权限为600（仅所有者可读写）。它绝不会读取你的~/.bashrc或~/.zshrc，避免泄露全局环境变量。
• 无内存dump：Moltbot进程内存中，从不存储明文密码、API密钥、或OCR识别出的完整敏感文本。它用