1. 为什么你的 OpenClaw 可能正在“裸奔”OpenClaw 是一个能真正替你执行任务的 AI 智能体框架支持通过微信、飞书、Telegram 等消息通道触发操作也能在本地直接调用 shell、读写文件、访问浏览器。它适合已经部署或准备部署 OpenClaw 的开发者、运维人员以及想把 AI Agent 接入日常工作流的技术团队。但它的默认配置和安全模型决定了它天然是一个“高权限、高暴露面”的服务——如果你没有认真处理配置文件和密钥管理它可能正在把你的 API Key、聊天记录甚至系统控制权暴露在公网上。我见过太多部署案例问题几乎都集中在两个地方一是settings.json/config.toml里把大模型 API Key 明文写死二是网关端口直接绑定0.0.0.0且没有认证。前者导致密钥泄露后攻击者可以直接盗刷你的模型额度后者让远程接管变得几乎没有门槛。更麻烦的是OpenClaw 的 MEMORY.md 会记录长期记忆里面可能包含你的工作上下文、私人对话摘要一旦被恶意技能或入侵者读取损失远不止一个 Key。这篇文章不重复讲漏洞编号和新闻时间线而是从配置文件与密钥管理角度切入给你可复制的settings.json/config.toml骨架以及用 TaoToken 统一 Key 收敛 API 通道的具体步骤。最后会给出两个验证动作检查密钥是否硬编码、确认 API 通道是否收敛。目标很明确——降低因配置不当引发的安全暴露面。2. TaoToken 前置统一 Key 为什么能加固 OpenClawOpenClaw 本身不绑定任何一家模型厂商你可以在配置里填 OpenAI、Anthropic、DeepSeek 或任意兼容接口的 Key。问题在于很多人会在多个技能、多个 Agent 实例里重复填写同一个 Key甚至把 Key 写进技能插件的环境变量。一旦某个第三方技能被投毒攻击者就能从环境变量或配置文件中直接读走你的原始 Key。TaoToken 在这里的作用是做一个统一的 API 入口。你只需要在 TaoToken 控制台创建一个 Key然后在 OpenClaw 的配置里把base_url指向 TaoToken 的 API 地址所有模型调用都走这一个通道。这样做有三个实际好处第一原始厂商 Key 不再出现在 OpenClaw 的配置文件里泄露面收窄第二你可以在 TaoToken 侧统一查看调用日志和用量异常调用更容易发现第三切换模型或调整额度时不用改 OpenClaw 的代码只改 TaoToken 的配置即可。需要先拿到 TaoToken 的 API Key。访问控制台创建即可https://taotoken.net/console?utm_sourcetaotoken_aicg_blog_endutm_contentconsoleutm_campaignrewrite创建完成后在 API Keys 页面复制你的 Key格式类似sk-xxxxxxxx。这个 Key 就是 OpenClaw 配置里唯一需要填写的凭据。如果你还没决定用哪个模型可以先在模型对话页面测试一下通道是否正常https://taotoken.net/chat?utm_sourcetaotoken_aicg_blog_endutm_contentmodel_chatutm_campaignrewriteAPI 的基础地址是https://taotoken.net/api注意这个地址不带 UTM 参数直接用于代码和配置文件。接入文档在这里https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_contentdocutm_campaignrewrite3. 可复制配置settings.json 与 config.toml 骨架OpenClaw 的配置分两部分settings.json管运行时行为config.toml管网关和通道。下面这份骨架是我在实际部署中整理出来的重点做了三件事密钥不硬编码、网关只监听本地、API 通道收敛到 TaoToken。先看settings.json。关键点是api_key字段不要写明文而是引用环境变量base_url指向 TaoTokenmemory目录权限收紧。{ agent: { name: openclaw-agent, model: claude-sonnet-4-20250514, api_key_env: TAOTOKEN_API_KEY, base_url: https://taotoken.net/api, max_tokens: 4096, temperature: 0.3 }, memory: { enabled: true, path: ./data/memory, encrypt: true, file_permission: 0600 }, tools: { shell: { enabled: false, allowlist: [] }, browser: { enabled: true, write_access: false }, file: { enabled: true, allowed_dirs: [./workspace], read_only: false } }, skills: { auto_update: false, trusted_sources_only: true, sandbox: true } }这里有几个细节值得展开。api_key_env指定从环境变量TAOTOKEN_API_KEY读取 Key而不是把sk-xxx直接写进 JSON。tools.shell.enabled设为false因为 shell 执行是 OpenClaw 最高危的能力之一除非你明确需要否则关掉。skills.auto_update设为false避免技能市场自动拉取未审核的插件。memory.encrypt设为true对 MEMORY.md 做加密存储降低被恶意软件批量扫描窃取的风险。再看config.toml。这份配置管的是网关和消息通道核心是绑定地址和认证。[gateway] host 127.0.0.1 port 18789 auth_token_env OPENCLAW_GATEWAY_TOKEN dm_policy pairing log_level info log_requests true [channels.telegram] enabled true bot_token_env TELEGRAM_BOT_TOKEN allowed_users [your_telegram_id] [channels.feishu] enabled false [security] rate_limit_per_minute 30 max_failed_auth 5 block_on_failed_auth truehost 127.0.0.1意味着网关只监听本地回环外部 IP 无法直接访问。如果你需要远程访问正确做法是通过 SSH 隧道或反向代理加认证而不是把host改成0.0.0.0。auth_token_env同样引用环境变量不写明文。dm_policy pairing要求私聊必须先配对避免陌生人直接给 Agent 下指令。allowed_users限制只有你自己的 Telegram ID 能触发操作。环境变量统一放在.env文件里权限设为600并且加入.gitignore# .env TAOTOKEN_API_KEYsk-your-taotoken-key OPENCLAW_GATEWAY_TOKENyour-random-gateway-token TELEGRAM_BOT_TOKENyour-telegram-bot-token生成随机 Token 可以用openssl rand -hex 32把输出填到OPENCLAW_GATEWAY_TOKEN和TELEGRAM_BOT_TOKEN对应的位置。.env文件不要提交到 Git也不要在技能插件里读取。4. 验证请求确认密钥未硬编码、通道已收敛配置写完后需要做两个验证动作。第一个是检查密钥是否硬编码。在 OpenClaw 项目根目录执行grep -rn sk- --include*.json --include*.toml --include*.env .如果输出里出现sk-开头的字符串说明还有明文 Key 残留在配置文件里。正常情况下除了.env文件本身其他配置文件不应该匹配到sk-。.env文件也要确认权限ls -l .env # 应输出 -rw------- 或类似只有所有者可读写第二个验证是确认 API 通道是否收敛到 TaoToken。启动 OpenClaw 后发一条测试消息触发模型调用然后查看日志tail -f logs/openclaw.log | grep api_request正常输出应该显示请求地址是https://taotoken.net/api而不是https://api.openai.com或https://api.anthropic.com。如果看到其他厂商的域名说明还有技能或 Agent 实例在直连原始 API需要回到settings.json检查base_url是否被覆盖。也可以用 curl 直接验证 TaoToken 通道是否可用curl -s https://taotoken.net/api/v1/chat/completions \ -H Authorization: Bearer $TAOTOKEN_API_KEY \ -H Content-Type: application/json \ -d { model: claude-sonnet-4-20250514, messages: [{role: user, content: ping}], max_tokens: 10 }如果返回包含choices字段的 JSON说明 Key 和通道都正常。如果返回 401检查TAOTOKEN_API_KEY是否已导出到当前 shell如果返回 404检查base_url是否写成了https://taotoken.net/api而不是其他路径。还有一个容易忽略的点OpenClaw 的网关认证。用 curl 测试网关是否只监听本地curl -s http://127.0.0.1:18789/health # 应返回 {status:ok} 或类似 curl -s http://你的公网IP:18789/health # 应连接失败或超时如果第二条命令能返回结果说明网关暴露在公网需要立刻回到config.toml把host改回127.0.0.1并重启服务。5. 本篇常见错排查5.1 环境变量没生效OpenClaw 报 “api_key missing”OpenClaw 读取环境变量的时机取决于启动方式。如果你用systemd或docker启动.env文件不会自动加载。需要在启动脚本里显式导出set -a source .env set a openclaw start或者用docker run --env-file .env传入。验证环境变量是否生效printenv TAOTOKEN_API_KEY如果输出为空说明当前 shell 没有加载.env。5.2 网关认证 Token 泄露在日志里config.toml里log_requests true会记录请求详情如果认证 Token 放在 URL 参数里就会写进日志。正确做法是把 Token 放在 Header 里并且日志级别设为info而不是debug。检查日志文件grep -i token logs/openclaw.log如果匹配到完整的 Token 字符串说明日志配置需要调整。把log_level改为warn并清理已有日志。5.3 技能插件绕过配置直连外部 API有些第三方技能会在自己的代码里硬编码 API 地址不读settings.json的base_url。排查方法是检查技能目录grep -rn https://api\. ./skills/ --include*.js --include*.py如果发现技能里有直连外部厂商的地址要么修改技能代码要么在settings.json里把skills.trusted_sources_only设为true并只保留审核过的技能。更彻底的做法是用网络层限制在防火墙里只允许 OpenClaw 进程访问taotoken.net其他外部 API 域名一律阻断。5.4 MEMORY.md 未加密被恶意技能读取即使settings.json里设了memory.encrypt true也要确认实际文件是否加密。检查data/memory目录file data/memory/MEMORY.md如果输出是ASCII text而不是加密格式说明加密没生效。可能是 OpenClaw 版本不支持或者memory.path指向了错误目录。升级到最新版本并确认memory.encrypt字段在配置中正确解析。5.5 远程访问配置错误导致认证绕过如果你用 Nginx 反向代理 OpenClaw 网关注意proxy_set_header的配置。错误配置会让所有请求看起来都来自127.0.0.1从而绕过dm_policy的配对检查。正确的 Nginx 配置应该保留原始客户端 IPlocation / { proxy_pass http://127.0.0.1:18789; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; }然后在 OpenClaw 的config.toml里确认trust_proxy字段是否开启。如果 OpenClaw 不信任代理头它会用X-Forwarded-For里的 IP 做认证判断而不是直接用127.0.0.1。6. 长期编码与 Agent 场景的 Key 管理建议如果你把 OpenClaw 当作长期运行的编码助手或自动化 AgentKey 管理需要比一次性测试更严格。TaoToken 的 Coding Plan 适合这种场景它提供统一的调用额度和更细的用量查看避免多个 Agent 实例各自持有原始 Keyhttps://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_contentcoding_planutm_campaignrewrite具体做法是在 TaoToken 控制台创建一个专门用于 OpenClaw 的 Key设置调用额度上限在 OpenClaw 的.env里只放这一个 Key所有技能插件通过 OpenClaw 的模型接口调用不直接读环境变量。这样即使某个技能被投毒攻击者也只能拿到 TaoToken 的 Key而你可以随时在控制台吊销它不影响其他服务。另外定期轮换 Key 也是必要的。TaoToken 控制台支持创建多个 Key你可以每月轮换一次旧 Key 保留一周后删除。轮换时只需要更新.env文件并重启 OpenClaw不需要改任何技能代码。最后提醒一点OpenClaw 的openclaw security audit --deep --fix命令可以自动检查部分配置问题但它不会检查你的 Key 是否硬编码也不会检查 API 通道是否收敛。这两个动作需要你手动执行本文第 4 节的验证命令。把这两条命令加入你的部署 checklist每次更新配置后跑一遍能挡住大部分因配置疏忽导致的暴露面。