1. 先搞清楚 OpenClaw 的 Pairing required 到底卡在哪OpenClaw 的disconnected (1008): pairing required报错本质上是网关的设备准入机制在拦你。它跟 SSH 第一次连接陌生主机要你确认指纹是一个思路任何新设备浏览器、CLI、手机节点、Node 节点第一次连上 Gateway都会被登记成一条待审批的配对请求管理员不点头WebSocket 就在 30 秒后甩出 1008 错误码并断开。这个机制能做什么它保证即使有人拿到了你的 Gateway URL 和 Token没有设备配对批准照样执行不了任何操作。适合谁所有把 OpenClaw 跑在本地或 VPS 上、需要对外暴露控制面板的开发者。你如果是刚装完 OpenClaw、第一次打开控制台就撞上这个报错那说明配对流程根本没走完不是配置写错了。我先把触发链路拆开讲清楚这样后面两种方案你才知道自己在改什么。客户端发起连接时Gateway 会做四件事生成唯一设备身份标识、创建一条 pending 配对请求、把连接挂起等待管理员显式批准、超时未批准就返回 1008。所以报错信息里的pairing required不是网络问题也不是 Token 问题而是「请求已生成但没人批」。这里有个容易踩的坑很多人以为重启服务就能解决结果重启后 pending 请求过期了列表变空反而更懵。正确顺序是先看有没有待审批设备再决定用哪种方案。另外要区分部署形态原生安装和 Docker Compose 的路径、命令都不一样下面我会分别给。还有一个认知误区值得提前说Pairing required 是安全设计不是 bug。你把它当成「OpenClaw 在问你这是不是你自己的设备」就行。理解了这一点你就不会想着去彻底关掉它而是按场景选择「手动批」还是「受控自动批」。生产环境老老实实手动批本地开发图省事可以走配置法但一定要限定范围。如果你同时还在用 TaoToken 这类模型网关来驱动 OpenClaw 背后的模型调用那配对和模型接入是两条独立的链路配对管的是「设备能不能连上 Gateway」TaoToken 管的是「连上之后模型请求发给谁」。两条都通了整个链路才算完整。下面第二节先把 TaoToken 侧的接入前置讲清楚避免你修完配对又卡在模型调用上。2. TaoToken 接入前置Base URL、Key、Model ID 三件套怎么备齐在动手改 OpenClaw 配置之前建议先把模型侧的三件套准备好否则你配对通过了控制台里一发请求还是报错排查起来会互相干扰。TaoToken 的接入信息就三样Base URL、API Key、Model ID。Base URL 用https://taotoken.net/api注意这个地址不带任何查询参数别自己拼 UTM 上去。API Key 去控制台的 API Keys 页面生成模型对话入口可以用来先验证模型是否通。具体操作路径是这样先打开官网 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 注册登录然后进控制台 https://taotoken.net/console 找到 API Keys 管理页 https://taotoken.net/api-keys 新建一个 Key 并复制保存。这个 Key 只显示一次丢了就重新建。拿到 Key 之后别急着往 OpenClaw 里塞先用模型对话页面 https://taotoken.net/chat 发一条测试消息确认 Key 有效、额度正常、模型能返回内容。这一步能帮你把「Key 无效」和「OpenClaw 配对失败」两类问题彻底分开。Model ID 这块要注意不同模型名字不一样别凭记忆写。你在模型对话页面选一个模型发消息能正常返回的那个名字就是可用的 Model ID。常见的比如claude-sonnet-4-5、gpt-4o这类但以你控制台实际列出的为准。写配置时 Model ID 大小写和连字符都要对错一个字符就是 404 或者model not found。如果你打算长期跑编码类任务或者 Agent 工作流可以顺带看下 Coding Plan https://taotoken.net/coding-plan 它更适合高频调用场景。但这一步不是必须的先把基础三件套跑通再说。Claude Code 相关的接入文档在 https://taotoken.net/doc 里面有 Anthropic 兼容格式的说明OpenClaw 如果走 Anthropic 协议照着那份文档配 Base URL 和 Key 就行。把这三样记在一个临时文本里Base URL https://taotoken.net/apiAPI Key 你刚生成的那串Model ID 你实测能返回的那个。接下来第三节我们回到 OpenClaw 本身给出可复制的 settings 配置片段把配对和模型接入一起理顺。3. 可复制配置settings 片段与两种官方解决路径这一节是全文的核心给你能直接抄的配置。OpenClaw 的配置分两块一块是设备配对相关~/.openclaw/devices/pending.json一块是网关和模型接入相关~/.openclaw/openclaw.json。两种官方解决路径分别对应「命令行审批法」和「配置文件修改法」我先把配置文件片段给全再讲两条路径怎么走。先看设备配对配置文件。默认路径是~/.openclaw/devices/pending.json如果你用了自定义配置目录用openclaw config get paths.devicesDir查实际位置。原始内容通常长这样{ silent: false, autoApprove: [], logLevel: info }开发环境想省去每次手动批准改成下面这样{ silent: true, autoApprove: [browser, cli], logLevel: warn }参数含义silent为true时自动批准所有配对请求不再提示autoApprove是可选白名单限定自动批准的设备类型[browser]只批浏览器[*]批所有logLevel建议调成warn减少日志噪音。改完不用重启 Gateway下次设备连接自动生效已经报错的页面刷新一下或重连 CLI 即可。再看网关和模型接入配置。编辑~/.openclaw/openclaw.json把网关认证和模型 provider 一起写进去{ gateway: { auth: { type: token, token: your-secure-random-string }, controlUi: { allowInsecureAuth: false, dangerouslyDisableDeviceAuth: false } }, models: { provider: anthropic, baseUrl: https://taotoken.net/api, apiKey: sk-你的TaoToken密钥, model: claude-sonnet-4-5 } }这里baseUrl必须是https://taotoken.net/api不要加斜杠后缀也不要加查询参数apiKey填你在 API Keys 页面生成的那串model填你实测能返回的 Model ID。dangerouslyDisableDeviceAuth永远保持false这是官方明确警告不要打开的开关。如果你用的是 Docker Compose 部署配置文件在容器内路径可能是/app/.openclaw/。先定位docker compose exec openclaw-gateway find /app -name pending.json找到后可以直接在宿主机映射卷里改也可以进容器改。改完记得确认容器内 Node 用户有权限docker compose exec openclaw-gateway chown -R node:node /app/.openclaw/devices两条路径的选择逻辑很简单生产环境、VPS 公网部署走命令行审批法保持silent: false本地开发、Docker 内网、频繁重启浏览器的场景走配置修改法把silent设为true并限定autoApprove范围。配置片段给全了下一节讲怎么验证请求真的通了。4. 逐步验证重启服务、看日志、确认配对状态配置改完不代表生效必须走一遍验证动作。我按顺序给你四步每步都有预期结果对不上就回到上一节检查配置。第一步确认 Gateway 在跑。原生安装的话openclaw gateway status预期输出里有running字样和监听端口。Docker 的话docker compose ps看到openclaw-gateway状态是Up就对了。如果没跑起来先openclaw gateway start或docker compose up -d。第二步查看待审批设备列表。新开一个终端保持 Gateway 运行openclaw devices list预期输出是一张表包含 Request ID、Role、Created At 三列。Role 会显示browser、node或cli。如果列表为空说明请求已过期刷新浏览器或重启 CLI 重新触发配对。Docker 环境用docker compose run --rm openclaw-cli devices list第三步批准设备。复制你要批的 Request IDopenclaw devices approve 6f9db1bd-a1cc-4d3f-b643-2c195262464e成功响应是Approved device ... Access granted.。Docker 环境docker compose run --rm openclaw-cli devices approve Request ID批完回到浏览器错误应该立即消失连接自动恢复。如果走的是配置修改法silent: true这一步可以跳过直接刷新页面看是否连上。第四步验证模型调用真的通。配对通过只代表设备连上了 Gateway模型请求能不能发出去还得单独验。在 OpenClaw 控制台里发一条测试消息或者用 CLIopenclaw chat 你好测试一下连接预期返回模型生成的文本。如果这里报401或model not found说明是 TaoToken 侧的 Key 或 Model ID 问题跟配对无关回到第二节检查三件套。如果返回reading choices之类的解析错误多半是 Base URL 写错或协议不匹配。最后确认配对状态openclaw devices list --approved能看到你刚批的设备就说明状态持久化了。整套验证走完你应该同时拿到「设备已配对」和「模型能返回」两个结果。下一节讲常见报错怎么排。5. 常见报错排查401、local proxy failed、reading choices、OAuth配对修完接下来最容易撞的是模型侧报错。我把四类高频错误对照真实症状拆开讲每类都给排查动作。第一类401 Unauthorized。症状是配对成功、设备连上但一发请求就 401。原因基本是 API Key 无效或没带上。排查确认openclaw.json里apiKey字段填的是 TaoToken 控制台生成的 Key没有多余空格没有把 Key 写到别的字段。然后单独用 curl 验一下curl https://taotoken.net/api/v1/messages \ -H x-api-key: sk-你的密钥 \ -H anthropic-version: 2023-06-01 \ -H content-type: application/json \ -d {model:claude-sonnet-4-5,max_tokens:64,messages:[{role:user,content:hi}]}返回正常内容说明 Key 没问题问题在 OpenClaw 配置读取路径返回 401 说明 Key 本身失效去 API Keys 页面重新生成。第二类local proxy failed。症状是请求发不出去日志里出现代理连接失败。这通常是本地网络层或 Base URL 写错导致。排查确认baseUrl是https://taotoken.net/api没有多余路径确认本机没有残留的 HTTP_PROXY/HTTPS_PROXY 环境变量指向不可用地址用env | grep -i proxy查一下有就 unset 掉再重启 Gateway。第三类reading choices或cannot read property choices。症状是请求发出去了但解析响应时崩了。这类多半是协议不匹配OpenClaw 按 OpenAI 格式解析但实际返回的是 Anthropic 格式或者反过来。排查确认models.provider字段和baseUrl对应的协议一致。走 Anthropic 协议就配provider: anthropic走 OpenAI 兼容就配provider: openai别混。TaoToken 的接入文档 https://taotoken.net/doc 里有两种协议的对照说明照着改。第四类OAuth 相关报错。症状是提示授权失败或 token 过期。如果你用的是 Claude Code 那套 OAuth 流程检查凭据文件是否过期重新走一次授权。相关说明在 https://taotoken.net/doc 的 ClaudeCodeAnthropic 章节。注意 OAuth 和 API Key 是两种认证方式别同时配选一种。排查顺序建议先看 Gateway 日志定位是配对层还是模型层配对层看openclaw devices list模型层看 curl 直连结果。两层分开查效率最高。如果配对反复失败用openclaw devices reject Request ID先拒掉旧请求刷新页面拿新 ID 再批。6. 把配对和模型接入一次理顺配对机制和模型接入是两条独立链路但实际排查时经常互相干扰。我的建议是先把设备配对彻底跑通确认openclaw devices list --approved能看到设备再去调模型侧。这样出问题时你能明确知道是哪一层。生产环境坚持用命令行审批法silent保持false每次新设备手动批配合gateway.auth.token加固。本地开发可以用配置法但autoApprove一定限定成[browser]或[cli]别图省事写[*]。定期跑openclaw devices list --approved审计已批设备发现不认识的用openclaw devices revoke ID撤掉。模型侧的三件套记牢Base URL 用https://taotoken.net/apiKey 从 https://taotoken.net/api-keys 生成Model ID 以实测能返回的为准。需要长期跑编码或 Agent 任务的话Coding Plan https://taotoken.net/coding-plan 更合适只是验证模型通不通用模型对话 https://taotoken.net/chat 最快。接入文档在 https://taotoken.net/doc 遇到协议不匹配或 OAuth 问题先翻那里。最后提醒一句dangerouslyDisableDeviceAuth这个开关永远别打开它等于把配对机制整个关掉公网部署下风险极高。配对麻烦一点换来的是设备级准入控制这笔账划算。