1. 为什么游戏本上的 OpenClaw 必须做安全配置OpenClaw 是一个能读写文件、执行命令、访问网络的本地 AI 智能体框架跑在个人游戏笔记本上时它默认拥有和你账号同级的系统权限。这意味着一旦配置不当它可能被恶意提示词诱导去读取浏览器 Cookie、SSH 私钥甚至执行删除操作。我见过最典型的翻车场景是用户把网关绑定到0.0.0.0结果同宿舍楼的设备直接扫到 18789 端口未授权就能调用 Control UI 发指令。这一篇聚焦三条主线网关暴露面收敛、令牌最小权限分配、沙箱隔离。目标很明确——让 OpenClaw 只能干你允许它干的事且凭证不落明文。适合已经完成 Win10WSL2 部署、正在用 Ollama 跑本地小模型的玩家。如果你还没装好基础环境建议先回看系列前两篇。需要提前说明的是本文所有配置都基于 OpenClaw 的 JSON5 主配置文件~/.openclaw/openclaw.json以及环境变量引用机制。涉及模型调用时我会用 TaoToken 作为统一入口来演示令牌作用域划分因为它的 API Key 支持按项目分配权限正好对应令牌最小权限这条主线。下面从实际踩过的坑开始拆。2. OpenClaw 网关与令牌的前置准备TaoToken 接入与作用域规划在动配置文件之前先把凭证从哪来、权限怎么分想清楚。OpenClaw 本身不生产模型能力它需要外接大模型 API。如果你用本地 Ollama模型跑在自己显卡上风险主要在工具调用如果你接云端模型那 API Key 的泄露风险就叠加进来了。我的做法是本地小模型负责日常轻量任务云端模型通过 TaoToken 接入并且给不同用途分配不同作用域的 Key。TaoToken 的 API 入口是https://taotoken.net/api控制台在https://taotoken.net/console。注册后在 API Keys 页面可以创建多个 Key每个 Key 可以绑定不同的项目或用途。这一步很关键——不要所有工具共用一个 Key。我的划分清单是这样的用途Key 命名权限范围存放位置OpenClaw 主对话claw-chat仅对话补全~/.openclaw/.env代码补全/Agentclaw-coding对话代码系统级环境变量临时测试claw-test仅对话限额低用完即删这样即使某个 Key 因为日志泄露被拿到攻击者也只能调用对话接口碰不到你的其他项目额度。创建 Key 的入口在控制台的 API Keys 页面点新建后选择权限模板即可。接下来是网关侧的准备。OpenClaw 的网关默认监听127.0.0.1:18789认证模式是 token。这个 token 是 OpenClaw 自己生成的和 TaoToken 的 API Key 是两回事——前者保护的是谁能连你的网关后者保护的是谁能用你的模型额度。两者都要管好。先确认当前网关状态openclaw config get gateway如果输出里bind是loopback、auth.mode是token说明基础形态是对的。如果看到bind是lan或0.0.0.0先改回来再往下走。改完记得跑一次openclaw config validate确认语法没错。3. 可复制的网关、令牌与沙箱配置片段这一节给三份可直接粘贴的配置分别对应网关收敛、令牌引用、沙箱强制开启。路径统一是~/.openclaw/openclaw.json编辑前先备份cp ~/.openclaw/openclaw.json ~/.openclaw/openclaw.json.bak nano ~/.openclaw/openclaw.json3.1 网关暴露面收敛配置{ gateway: { port: 18789, mode: local, bind: loopback, auth: { mode: token, tokenRef: env:OPENCLAW_GATEWAY_TOKEN }, trustedProxies: [], tailscale: { mode: off, resetOnExit: false } } }关键点bind必须是loopbacktrustedProxies留空数组而不是随便填。如果你确实需要远程访问优先用 Tailscale Serve 而不是把端口开到局域网。tokenRef指向环境变量避免明文。3.2 令牌环境变量与文件权限# 生成网关令牌并写入环境变量 export OPENCLAW_GATEWAY_TOKEN$(openclaw gateway token generate) echo export OPENCLAW_GATEWAY_TOKEN$OPENCLAW_GATEWAY_TOKEN ~/.bashrc # 创建 OpenClaw 专属 .env存放 TaoToken 的 API Key touch ~/.openclaw/.env chmod 600 ~/.openclaw/.env echo TAOTOKEN_API_KEY你的claw-chat-key ~/.openclaw/.env # 收紧配置文件和目录权限 chmod 600 ~/.openclaw/openclaw.json chmod 700 ~/.openclaw.env文件不要提交到 Git也不要在 shell 里cat出来截图。OpenClaw 进程启动时会自动读取~/.openclaw/.env优先级高于系统级环境变量。3.3 沙箱强制开启与工具白名单{ agents: { defaults: { sandbox: { mode: all }, model: { primary: custom-127-0-0-1-11434/qwen3.5:2b }, workspace: /home/hello/.openclaw/workspace }, list: [ { id: main, skills: [], tools: { deny: [ exec, process, browser, web_fetch, web_search, message, cron, gateway, nodes, agents_list, apply_patch ] } } ] }, nodes: { denyCommands: [ camera.snap, camera.clip, screen.record, contacts.add, calendar.add, sms.send ] } }deny列表里我故意把exec、browser、web_fetch都关了因为小模型2B 参数抗注入能力弱先全禁再按需放开。denyCommands用精确命令 ID不要用模糊匹配否则黑名单不生效。改完跑验证openclaw config validate openclaw config get agents.defaults.sandbox第二条应该回显{ mode: all }。如果报语法错误多半是 JSON5 里多了逗号或少了引号用openclaw doctor --fix自动修。4. 验证配置真实生效未授权拦截与越权回显检查配置写完不代表生效必须做三组验证。第一组网关未授权访问测试。先确认网关在跑openclaw gateway status然后用 curl 不带 token 直接打接口curl -i http://127.0.0.1:18789/api/health预期返回 401 或 403。如果返回 200说明认证没生效回去检查auth.mode和tokenRef是否被正确解析。再带错误 token 试一次curl -i -H Authorization: Bearer wrong-token http://127.0.0.1:18789/api/health同样应该被拒。两次都拦截网关这关才算过。第二组令牌作用域越权回显。用claw-chat这个只绑了对话权限的 Key 去调代码补全接口看是否被拒。在 OpenClaw 里可以通过切换模型配置来模拟openclaw config set agents.defaults.model.primary taotoken/claw-coding然后发一个需要代码权限的请求。如果返回权限不足而不是正常补全说明作用域隔离生效。测完记得切回原模型。第三组沙箱隔离验证。让 OpenClaw 尝试执行一个被 deny 的工具openclaw run --agent main 列出当前目录文件因为exec和read都在 deny 列表里预期返回工具被禁用而不是真的列出文件。如果它真列出来了说明沙箱没生效检查sandbox.mode是否为all以及tools.deny是否写在了正确的 agent 节点下。三组都通过后跑一次深度审计收尾openclaw security audit --deep把报告里标红的项逐个处理处理完再跑--fix。5. 常见报错排查401、local proxy failed 与 reading choices报错一401 Unauthorized。最常见的原因是tokenRef指向的环境变量没被加载。检查echo $OPENCLAW_GATEWAY_TOKEN如果为空说明~/.bashrc没 source 或者你开的是新 shell。执行source ~/.bashrc后重启网关。另一个可能是.env文件权限太松被 OpenClaw 拒绝读取chmod 600后重试。报错二local proxy failed。这个通常出现在你配了反向代理但trustedProxies为空的时候。OpenClaw 检测到请求头里有X-Forwarded-For但没配置信任代理直接拒绝。解决方式二选一要么把trustedProxies填上代理的 IP要么干脆不用反向代理保持bind: loopback。我推荐后者个人游戏本没必要暴露到公网。报错三reading choices 相关解析失败。这个多半是模型返回格式和 OpenClaw 预期不一致。如果你用的是 TaoToken 接入的云端模型先确认 Base URL 填的是https://taotoken.net/apiModel ID 和你在控制台看到的一致。三件套缺一不可Base URL、API Key、Model ID。检查配置openclaw config get agents.defaults.model如果 Model ID 写成了别名而不是实际 ID也会导致解析失败。改完跑一次openclaw config validate再重启。报错四OAuth 相关错误。如果你在 OpenClaw 里配了需要 OAuth 的模型服务token 过期后会报这个。重新走一遍授权流程或者改用 API Key 方式接入 TaoToken省去 OAuth 刷新环节。排查完记得把openclaw doctor的输出存一份下次出问题直接对比。6. 把安全配置固化成日常习惯TaoToken 与 OpenClaw 的长期搭配配置一次不难难的是长期不退化。我的做法是把三件事写进日常流程每周跑一次openclaw security audit --deep每月轮换一次网关令牌和 TaoToken 的 API Key每次装新插件前先看它的权限声明。轮换令牌的具体操作# 重新生成网关令牌 export OPENCLAW_GATEWAY_TOKEN$(openclaw gateway token generate) # 更新 .bashrc 里的旧值 sed -i s/^export OPENCLAW_GATEWAY_TOKEN.*/export OPENCLAW_GATEWAY_TOKEN$OPENCLAW_GATEWAY_TOKEN/ ~/.bashrc source ~/.bashrc openclaw gateway restartTaoToken 的 Key 轮换在控制台 API Keys 页面操作新建一个同权限的 Key更新~/.openclaw/.env里的值确认 OpenClaw 能正常调用后再删旧 Key。这样不会中断服务。如果你打算长期跑编码类 Agent 任务可以考虑用 TaoToken 的 Coding Plan它的额度模型更适合高频调用场景配合 OpenClaw 的沙箱和令牌隔离能把免费养龙虾这件事做得既省钱又安全。模型对话调试用https://taotoken.net/chat接入文档在https://taotoken.net/docAPI Keys 管理在https://taotoken.net/api-keys。Claude Code 相关的接入配置可以参考https://taotoken.net/claude-code。最后提醒一句沙箱不是万能的它挡的是工具调用层面的越权挡不住你把敏感文件主动放进 workspace。所以~/.openclaw/workspace里只放需要 AI 处理的文件SSH 私钥、浏览器配置目录这些永远不要放进去。