Oder baue es zuerst:```bash
cargo build -p ironclaw_reborn_cli --bin ironclaw-reborn
./target/debug/ironclaw-reborn --help

`config path` und `doctor` sind sichere Diagnosebefehle; sie geben das ermittelte Home, Profil, `config.toml`, `providers.json` und `v1_state: not-used` aus.
Sie erstellen keinen Reborn-Status und keine Seed-Konfigurationsdateien.

### Modellroute konfigurieren

Der CLI-native Weg, um Reborns Standard-Modellroute zu konfigurieren, ist:```bash
export IRONCLAW_REBORN_HOME="$PWD/.reborn-home"
cargo run -q -p ironclaw_reborn_cli --bin ironclaw-reborn -- models set-provider openai --model gpt-5-mini

Für OpenAI setzen Sie den geheimen Wert in der Umgebungsvariable, bevor Sie starten:```bash
export OPENAI_API_KEY="sk-..."
cargo run -q -p ironclaw_reborn_cli --bin ironclaw-reborn -- run --message "hello"

### `config.toml` Form

`config init` erstellt bearbeitbare Startdateien:```bash
cargo run -q -p ironclaw_reborn_cli --bin ironclaw-reborn -- config init

`config.toml` kann auch optionale Abschnitte wie `[boot]`,
`[identity]`, `[runner]` und `[skills]` enthalten; `config init` schreibt kommentierte
Anleitungen für die unterstützten Felder.

Fehlt `config.toml`, erstellt der erste zustandsbehaftete Laufzeitstart mittels `run`,
`repl` oder `serve` eine dünnbesetzte Datei mit `api_version` und dem sicheren
`local-dev` Boot-Profil. Schreibgeschützte Befehle und `run --dry-run` bleiben
nebenwirkungsfrei. Einmalige Umgebungsauswahlen wie
`IRONCLAW_REBORN_PROFILE=local-dev-yolo` werden nicht in die erstellte Datei übernommen.

Wichtig: `api_key_env` ist der Name einer Umgebungsvariablen, nicht das Geheimnis
selbst. Reborn lehnt Inline-Geheimniswerte in `config.toml` und
`providers.json` ab.

Der Produktionsspeicher verwendet das gleiche reine-Umgebungsvariablen-Muster. Eine Produktions-Reborn-Konfiguration
kann die PostgreSQL-URL-Variable benennen, darf aber die rohe URL nicht enthalten:```toml
[storage]
backend = "postgres"
url_env = "IRONCLAW_REBORN_POSTGRES_URL"
secret_master_key_env = "IRONCLAW_REBORN_SECRET_MASTER_KEY"
# Optional; defaults to 2. Keep below the PostgreSQL server or managed
# session-pool cap after reserving capacity for restarts and operator sessions.
pool_max_size = 2

[policy]
deployment_mode = "hosted_multi_tenant"
default_profile = "secure_default"

Gemeinsame Anbieter-Umgebungsvariablen:

| Anbieter | Selektor | Erforderliche Umgebungsvariable |
| --- | --- | --- |
| OpenAI | `LLM_BACKEND=openai` | `OPENAI_API_KEY`; optional `OPENAI_MODEL`, `OPENAI_BASE_URL` |
| Anthropic | `LLM_BACKEND=anthropic` | `ANTHROPIC_API_KEY`; optional `ANTHROPIC_MODEL`, `ANTHROPIC_BASE_URL` |
| OpenAI-kompatibel | `LLM_BACKEND=openai_compatible` | `LLM_BASE_URL`; optional `LLM_API_KEY`, `LLM_MODEL` |
| OpenRouter | `LLM_BACKEND=openrouter` | `OPENROUTER_API_KEY`; optional `OPENROUTER_MODEL` |
| Ollama | `LLM_BACKEND=ollama` | kein Schlüssel; optional `OLLAMA_BASE_URL`, `OLLAMA_MODEL` |
| Codex-Auth | `LLM_BACKEND=openai_codex` | `LLM_USE_CODEX_AUTH=true` oder `CODEX_AUTH_PATH`; optional `OPENAI_CODEX_MODEL` |

Verwende `models list <anbieter>`, um die genauen in den aktuellen Branch kompilierten Anbieter-Metadaten zu sehen.

### Startvariablen

| Variable | Zweck |
| --- | --- |
| `IRONCLAW_REBORN_HOME` | Absolutes Reborn-Status-Wurzelverzeichnis. Standardmäßig `$HOME/.ironclaw/reborn`. Der Resolver lehnt unsichere Pfade und v1-Status-Wurzel-Aliase wie `$HOME/.ironclaw` ab. |
| `IRONCLAW_REBORN_PROFILE` | Boot-Profil-Auswahl. Unterstützte Werte: `local-dev`, `local-dev-yolo`, `hosted-single-tenant`, `hosted-single-tenant-volume`, `production`, `migration-dry-run`. |
| `IRONCLAW_REBORN_POSTGRES_URL` | Produktive PostgreSQL-Speicher-URL, wenn `[storage].backend = "postgres"` und `[storage].url_env` diese Variable benennt. Halte sie aus `config.toml` heraus; entfernte Anbieter müssen TLS verwenden. |
| `IRONCLAW_REBORN_POSTGRES_POOL_MAX_SIZE` | Optionale Überschreibung der PostgreSQL-Client-Pool-Größe für Reborn. Verwende dies, wenn ein verwalteter Anbieter eine kleine Sitzungspool-Obergrenze erzwingt. |
| `IRONCLAW_FILESYSTEM_POSTGRES_MIGRATION_CONNECT_MAX_WAIT_SECS` | Optionales Wartezeitfenster beim Start für Wiederholungsversuche der Postgres-Dateisystem-Migrationsverbindung. Standardmäßig 300 Sekunden. |
| `IRONCLAW_REBORN_SECRET_MASTER_KEY` | Produktiver Reborn-Geheim-Hauptschlüssel, wenn `[storage].secret_master_key_env` diese Variable benennt. Halte ihn unabhängig von der Datenbank-URL und außerhalb von `config.toml`. |
| `IRONCLAW_REBORN_LOG` | Tracing-Filter für die Reborn-Binärdatei, zum Beispiel `debug,ironclaw_runner=trace`. |

`run` und `repl` unterstützen derzeit lokale Laufzeit-Komposition über `local-dev`, `local-dev-yolo` und `hosted-single-tenant-volume`.  
`hosted-single-tenant-volume` verwendet das lokale libSQL-Substrat unter `$IRONCLAW_REBORN_HOME/hosted-single-tenant-volume`, löst die gehostete sichere Standard-Laufzeitrichtlinie auf und deaktiviert prozessgestützte Werkzeuge wie Shell. Es ist für Preview-Bereitstellungen mit einem einzelnen Mandanten auf einem persistenten Volume gedacht, nicht als vollständige PostgreSQL-Produktionskomposition.

`local-dev-yolo` gewährt vertrauenswürdigen Laptop-Host-Zugriff und muss explizit bestätigt werden:```bash
export IRONCLAW_REBORN_PROFILE=local-dev-yolo
cargo run -q -p ironclaw_reborn_cli --bin ironclaw-reborn -- repl --confirm-host-access

Der WebUI-Listener hört standardmäßig auf `127.0.0.1:3000`. Der Dienst benötigt beim Start einen env-bearer Token und eine Benutzer-ID. Er benötigt außerdem die Modell-Route aus dem vorherigen Abschnitt, einschließlich der Credential-Umgebungsvariable dieses Anbieters:```bash
export IRONCLAW_REBORN_HOME="$PWD/.reborn-home"
export OPENAI_API_KEY="sk-..." # or the required env var for your configured provider
export IRONCLAW_REBORN_WEBUI_TOKEN="$(openssl rand -hex 32)"
export IRONCLAW_REBORN_WEBUI_USER_ID="reborn-cli"

cargo run -q -p ironclaw_reborn_cli --features webui-v2-beta --bin ironclaw-reborn -- serve

`env_token_var` und `env_user_id_var` sind Umgebungsvariablen-Namen. Bewahren Sie das eigentliche Token und die Benutzer-ID in der Umgebung.

Erforderliche WebUI-Umgebungsvariablen:

| Variable | Zweck |
| --- | --- |
| `IRONCLAW_REBORN_WEBUI_TOKEN` | Bearer-Token für WebUI-Anfragen. Wenn SSO aktiviert ist, signiert dies auch Sitzungen und muss mindestens 32 Bytes lang sein. |
| `IRONCLAW_REBORN_WEBUI_USER_ID` | Reborn-Besitzer-/Benutzer-ID für Env-Bearer-Anfragen. Wenn `[identity].default_owner` konfiguriert ist, muss es mit diesem Wert übereinstimmen. |

Optionale WebUI-OAuth-Umgebungsvariablen:

| Variable | Zweck |
| --- | --- |
| `IRONCLAW_REBORN_WEBUI_BASE_URL` | Öffentliche Basis-URL, die für WebUI-Login und Produkt-Auth-OAuth-Callbacks verwendet wird. Nicht-Loopback-Bereitstellungen müssen `https://` verwenden. |
| `IRONCLAW_REBORN_WEBUI_GOOGLE_CLIENT_ID` | Aktiviert Google SSO, wenn gesetzt. |
| `IRONCLAW_REBORN_WEBUI_GOOGLE_CLIENT_SECRET` | Erforderlich, wenn Google SSO aktiviert ist. |
| `IRONCLAW_REBORN_WEBUI_GOOGLE_ALLOWED_HD` | Optionale Google-gehostete-Domain-Einschränkung. |
| `IRONCLAW_REBORN_WEBUI_GITHUB_CLIENT_ID` | Aktiviert GitHub SSO, wenn gesetzt. |
| `IRONCLAW_REBORN_WEBUI_GITHUB_CLIENT_SECRET` | Erforderlich, wenn GitHub SSO aktiviert ist. |
| `IRONCLAW_REBORN_WEBUI_ALLOWED_EMAIL_DOMAINS` | Erforderlich, wenn ein SSO-Anbieter aktiviert ist. Kommagetrennte verifizierte E-Mail-Domains. |
| `IRONCLAW_REBORN_WEBUI_OAUTH_HTTP_TIMEOUT_SECS` | Optionaler OAuth-HTTP-Timeout-Override. |

Für Google SSO erstellen Sie einen Google OAuth-Web-Client und registrieren Sie die Reborn WebUI-Weiterleitungs-URI als:```text
{IRONCLAW_REBORN_WEBUI_BASE_URL}/auth/callback/google

Notion MCP und andere Produkt-Auth OAuth-Setup-Flows verwenden dieselbe öffentliche WebUI-Basis-URL, wenn sie Anbieter-Callback-URLs registrieren. Fügen Sie keinen abschließenden Schrägstrich in `IRONCLAW_REBORN_WEBUI_BASE_URL` ein; Reborn entfernt ihn vor dem Aufbau der Callback-URLs. Wenn die Basis-URL weggelassen wird, verwendet Reborn die tatsächliche Listener-Adresse, wie `http://127.0.0.1:3000`, die nur für Loopback/lokale OAuth-Tests geeignet ist. Öffentliche oder nicht-Loopback-OAuth-Bereitstellungen müssen eine `https://`-Basis-URL festlegen.

Vollständige Google SSO-Startup-Umgebung:```bash
export IRONCLAW_REBORN_HOME="/var/lib/ironclaw-reborn"
export IRONCLAW_REBORN_PROFILE=local-dev
export OPENAI_API_KEY="sk-..." # or the required env var for your configured provider
export IRONCLAW_REBORN_WEBUI_TOKEN="$(openssl rand -hex 32)"
export IRONCLAW_REBORN_WEBUI_USER_ID="reborn-cli"
export IRONCLAW_REBORN_WEBUI_BASE_URL="https://ironclaw.example.com"
export IRONCLAW_REBORN_WEBUI_ALLOWED_EMAIL_DOMAINS="example.com,team.example.com"
export IRONCLAW_REBORN_WEBUI_GOOGLE_CLIENT_ID="..."
export IRONCLAW_REBORN_WEBUI_GOOGLE_CLIENT_SECRET="..."

cargo run -q -p ironclaw_reborn_cli --features webui-v2-beta --bin ironclaw-reborn -- serve --host 0.0.0.0 --port 3000

Aktivieren Sie Slack, indem Sie `IRONCLAW_REBORN_SLACK_ENABLED=true` setzen oder einen `[slack]`-Abschnitt zu `config.toml` hinzufügen:```toml
[slack]
enabled = true