1. 为什么要把 openclaw 藏到 HTTPS 后面openclaw 这类自托管 Agent 网关默认监听 18789 端口装完就能用爽是真爽。但只要你的 Lighthouse 有公网 IP这个端口就等于挂在互联网大门口。我试过用一台闲置轻量机跑了两天日志里全是来自各地的扫描请求路径探测、指纹识别、暴力尝试轮番上阵。openclaw 本身还是个很年轻的项目迭代快意味着功能在长也意味着攻击面在变谁也不敢保证哪天不会冒出一个未授权访问或者命令注入。企业微信接入这个场景恰好给了我们一个天然的收敛点。企业微信的智能机器人回调要求你填一个公网可达的 URL而且强烈建议 HTTPS。也就是说你本来就得暴露一个入口那不如只暴露 443把 18789 彻底关进内网。外部流量走 HTTPS 到 nginxnginx 再反代到本机 127.0.0.1:18789中间加一层证书校验和路径收敛。这样即使 openclaw 有漏洞攻击者也得先过 nginx 这一关而且你还能在 nginx 层做限流、封 IP、隐藏真实后端。这篇文章面向的是已经在 Lighthouse 上跑起 openclaw、并且有一个备案域名的人。如果你还没装 openclawLighthouse 的应用模板里直接选 OpenClaw 就能秒级部署密码设复杂点或者用 SSH 密钥登录这些前置步骤我就不展开了。重点讲两件事一是用 nginx 做反向代理并配好 SSL二是用 swag 这个开箱即用的容器自动签发和续期证书。两条路径都会给出可复制的配置片段以及企业微信回调地址怎么填、怎么用 curl 验证连通性和证书链。先说清楚一个前提企业微信的回调 URL 要求域名已备案。备案流程现在不算复杂但如果你实在不想备案也可以考虑其他不需要备案的平台接入只是那就不在本文讨论范围内了。下面所有操作都假设你有一个解析到 Lighthouse 公网 IP 的域名比如bot.example.com。2. 前置准备TaoToken 与 openclaw 的模型接入在折腾反代之前建议先把 openclaw 的模型通道理顺否则你证书配好了、回调通了结果 Agent 一说话就报错排查起来会以为是网络问题。openclaw 支持配置第三方大模型 API这里我用 TaoToken 作为示例因为它兼容 OpenAI 风格的接口配置起来比较直接。你需要先拿到一个 API Key。打开 https://taotoken.net/api-keys 登录后创建一个新的 Key复制出来保存好。注意这个 Key 只在创建时完整显示一次丢了就得重建。拿到 Key 之后openclaw 的配置文件里通常需要填三个东西Base URL、API Key、Model ID。Base URL 填https://taotoken.net/api注意不要带多余的路径也不要加 UTM 参数。Model ID 根据你实际要用的模型填比如gpt-4o或者claude-3-5-sonnet这类具体以 TaoToken 文档里列出的为准。如果你用的是 Claude Code 或者类似的编码 AgentTaoToken 也提供了对应的接入方式Base URL 同样是https://taotoken.net/apiKey 用刚才创建的那个。配置的时候注意区分对话模型和编码模型有些模型在编码场景下表现更好有些则适合日常对话。你可以先在 https://taotoken.net/models 里试一下模型对话确认 Key 能用、模型有响应再去改 openclaw 的配置。openclaw 的配置文件位置取决于你的安装方式。如果是 Lighthouse 应用模板装的一般在/opt/openclaw/config.yaml或者用户目录下的.openclaw/config.yaml。用编辑器打开找到模型相关的段落把 Base URL、Key、Model 填进去。改完之后重启 openclaw 服务用systemctl restart openclaw或者docker restart openclaw具体看你的部署方式。这一步做完先在服务器本机用 curl 测一下 openclaw 的 18789 端口是否正常响应curl -s http://127.0.0.1:18789/health如果返回类似{status:ok}的内容说明 openclaw 本身是活的。如果连本机都访问不通那先别急着配 nginx回去看 openclaw 的日志。常见问题是端口没监听在 127.0.0.1 而是只监听了某个特定网卡或者防火墙拦了本地回环。确认本机通了再往下走。另外提醒一句如果你打算长期跑编码类 Agent可以考虑 TaoToken 的 Coding Plan额度更划算适合高频调用。但这是后话先把接入跑通再说。3. 可复制配置nginx 反代与 swag 自动签发两条路径这一节是核心我会给出两套方案。方案 A 是你自己装 nginx手动配 SSL方案 B 是用 swag 容器证书自动签发和续期。两套方案的 nginx 配置片段基本一致区别在于证书路径和容器编排。3.1 方案 A原生 nginx 手动证书假设你已经用 certbot 或者其它方式拿到了bot.example.com的证书证书文件在/etc/letsencrypt/live/bot.example.com/fullchain.pem私钥在/etc/letsencrypt/live/bot.example.com/privkey.pem。在/etc/nginx/conf.d/openclaw.conf里写入server { listen 443 ssl; listen [::]:443 ssl; server_name bot.example.com; ssl_certificate /etc/letsencrypt/live/bot.example.com/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/bot.example.com/privkey.pem; ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers HIGH:!aNULL:!MD5; location / { proxy_pass http://127.0.0.1:18789; proxy_http_version 1.1; proxy_set_header Upgrade $http_upgrade; proxy_set_header Connection upgrade; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; proxy_read_timeout 86400s; proxy_send_timeout 86400s; } location ~ /\.ht { deny all; } }几个关键点解释一下。proxy_http_version 1.1和Upgrade/Connection头是为了支持 WebSocketopenclaw 的实时通信依赖这个不配的话企业微信那边可能连上就断。proxy_read_timeout设成 86400 秒是因为 Agent 处理长任务时连接可能挂很久默认 60 秒会超时。X-Forwarded-Proto告诉后端真实协议是 https有些应用会根据这个生成回调地址。配完执行nginx -t检查语法然后systemctl reload nginx。接着去 Lighthouse 控制台的防火墙页面放通 443 端口同时把 18789 端口删掉。这一步很重要很多人配了反代但忘了关原端口等于白配。3.2 方案 Bswag 容器自动签发swag 是 linuxserver 社区维护的 nginx 增强镜像内置了 certbot能自动申请和续期 Lets Encrypt 证书。用 docker-compose 部署新建一个目录比如/opt/swag在里面写docker-compose.ymlversion: 3 services: swag: image: lscr.io/linuxserver/swag:latest container_name: swag cap_add: - NET_ADMIN environment: - PUID1000 - PGID1000 - TZAsia/Shanghai - URLbot.example.com - VALIDATIONhttp - EMAILyouexample.com volumes: - ./config:/config ports: - 443:443 - 80:80 restart: unless-stoppedURL填你的域名VALIDATIONhttp表示用 HTTP 方式验证域名所有权需要 80 端口可达。EMAIL填你的邮箱证书快过期时会收到提醒。启动容器docker compose up -d首次启动会自动申请证书日志里能看到 certbot 的输出。证书文件会放在./config/etc/letsencrypt/live/bot.example.com/下。swag 自带的 nginx 配置在./config/nginx/你可以在site-confs/default.conf里改或者新建一个openclaw.conf。swag 提供了一个ssl.conf的 include 文件里面已经配好了证书路径和推荐的加密套件你直接引用就行server { listen 443 ssl; listen [::]:443 ssl; server_name bot.example.com; include /config/nginx/ssl.conf; location / { proxy_pass http://172.17.0.1:18789; proxy_http_version 1.1; proxy_set_header Upgrade $http_upgrade; proxy_set_header Connection upgrade; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; proxy_read_timeout 86400s; proxy_send_timeout 86400s; } location ~ /\.ht { deny all; } }注意proxy_pass的地址。swag 跑在容器里127.0.0.1指的是容器自己不是宿主机。所以要用宿主机的 docker 网桥地址通常是172.17.0.1。如果你的 openclaw 也跑在容器里并且和 swag 在同一个 docker 网络那可以直接用容器名比如http://openclaw:18789。这个坑我踩过配完一直 502查了半天才发现是回环地址的问题。改完配置docker restart swag然后同样去 Lighthouse 防火墙放通 443 和 8080 用于证书验证删掉 18789。两条路径选哪个如果你不想装 docker或者服务器上已经有 nginx 在跑别的站方案 A 更轻。如果你想要证书自动续期、少操心方案 B 更省事。swag 的证书续期是容器内定时任务自动做的不用你管。4. 验证请求curl 测回调连通性与证书链配置写完不代表通了得实际验证。分三步先测 HTTPS 是否可达再测证书链是否完整最后测企业微信回调路径。第一步从你的本地电脑或者另一台服务器上执行curl -v https://bot.example.com/health看返回内容是不是 openclaw 的健康检查响应。如果返回 502说明 nginx 通了但后端没通回去检查proxy_pass地址和 openclaw 是否在监听。如果返回 403 或者 404说明路径不对检查 location 配置。如果直接连接超时检查 Lighthouse 防火墙 443 是否放通、域名解析是否正确。第二步验证证书链。用 openssl 命令openssl s_client -connect bot.example.com:443 -servername bot.example.com /dev/null 2/dev/null | openssl x509 -noout -dates -subject -issuer输出里会显示证书的有效期、颁发者和主题。如果Verify return code是 0说明证书链完整。如果是非 0比如unable to get local issuer certificate说明中间证书没配全。用 certbot 的话一般不会有这个问题手动配证书时容易只配了域名证书忘了中间证书。swag 的ssl.conf里已经处理好了用 swag 基本不会遇到。第三步模拟企业微信的回调请求。企业微信智能机器人的回调 URL 你填https://bot.example.com/wecom但实际请求路径取决于 openclaw 的路由配置。先用 curl 测一下这个路径是否返回预期状态curl -s -o /dev/null -w %{http_code}\n https://bot.example.com/wecom如果返回 200 或者 401取决于 openclaw 是否要求签名校验说明路径通了。如果返回 404说明 openclaw 没有注册这个路由回去看 openclaw 的企业微信接入配置。企业微信在保存回调 URL 时会发一个验证请求openclaw 需要能正确响应这个验证否则企业微信后台会提示“回调地址校验失败”。还有一个容易忽略的点企业微信要求回调 URL 必须是 HTTPS而且证书必须被信任。自签名证书不行Lets Encrypt 的可以。如果你用 swag证书是 Lets Encrypt 签的没问题。如果你手动配了自签名证书企业微信会拒绝。验证通过后去企业微信管理后台找到智能机器人或者应用的回调配置把 URL 填成https://bot.example.com/wecom保存。如果提示成功说明整条链路通了。然后你在企业微信里给机器人发一条消息看 openclaw 是否正常回复。如果消息发出去没反应看 openclaw 的日志通常是模型配置问题或者 WebSocket 没连上。5. 本篇常见错排查401、502、证书报错与 OAuth 失败配这套东西报错基本集中在几个地方。我按真实遇到的顺序列一下。401 Unauthorized。这个通常不是 nginx 的问题而是 openclaw 的 API Key 或者企业微信的签名校验没过。如果你在 openclaw 里配了 TaoToken 的 Key检查 Key 是否复制完整、有没有多余空格。Base URL 是不是https://taotoken.net/api有没有误写成带/v1的路径。有些模型要求特定的 Model ID填错了会返回 401 或者 404。另外企业微信回调如果开了加密模式openclaw 需要配置对应的 Token 和 EncodingAESKey没配或者配错也会 401。502 Bad Gateway。这个几乎都是 nginx 连不上后端。分两种情况如果你用原生 nginx检查proxy_pass http://127.0.0.1:18789里的端口对不对openclaw 是不是真的在监听这个端口。用ss -tlnp | grep 18789看一下。如果你用 swag 容器检查proxy_pass地址是不是172.17.0.1而不是127.0.0.1。还有一个可能是 openclaw 只监听了 IPv6 或者只监听了某个特定网卡用ss -tlnp确认监听地址是0.0.0.0或者127.0.0.1。local proxy failed。这个报错在 openclaw 日志里比较常见通常是它尝试通过本地代理访问外部 API 时失败了。如果你服务器上配了 HTTP_PROXY 或者 HTTPS_PROXY 环境变量但代理不可用就会报这个。检查env | grep -i proxy如果有不需要的代理设置unset 掉再重启 openclaw。另外有些模型 API 需要直连走代理反而会失败。reading choices 相关报错。这个通常出现在模型返回格式不符合预期时。比如你用的模型返回的是流式响应但 openclaw 按非流式解析就会报reading choices之类的错误。检查 openclaw 配置里是否开启了流式以及模型是否支持流式。TaoToken 的接口兼容 OpenAI 格式一般不会有这个问题但如果 Model ID 填错了返回体结构不对也会触发。OAuth 相关失败。如果你接入的是需要 OAuth 的平台比如某些企业微信应用需要获取 access_token失败原因通常是 CorpID、Secret 填错或者服务器时间不同步导致签名过期。用date看一下服务器时间偏差超过几分钟就会导致 OAuth 签名失败。装个 ntp 同步一下时间。证书报错。NET::ERR_CERT_AUTHORITY_INVALID说明证书不被信任自签名证书会这样。certificate has expired说明证书过期了swag 一般会自动续但如果 80 端口不通续期会失败。检查docker logs swag里有没有 certbot 的报错。手动配证书的话记得配 fullchain 而不是单独的 cert。企业微信提示“回调地址校验失败”。先确认 URL 是 HTTPS 且证书有效再用 curl 测/wecom路径返回码。如果 openclaw 要求验证签名检查 Token 和 EncodingAESKey 是否和企业微信后台一致。还有一个坑企业微信回调验证时会发一个 GET 请求带 echostr 参数openclaw 需要原样返回 echostr 才能通过。如果 openclaw 版本较老可能不支持这个升级一下。排查的时候日志是最重要的。nginx 的错误日志在/var/log/nginx/error.log或者 swag 的./config/log/nginx/error.log。openclaw 的日志用journalctl -u openclaw -f或者docker logs -f openclaw看。两边对着看基本能定位到是哪一层的问题。6. 收尾把 18789 关掉之后整套配完你的架构就变成了公网只能访问 443nginx 或 swag 负责 TLS 终止和证书管理流量转发到本机 18789 的 openclaw企业微信通过 HTTPS 回调。18789 端口从 Lighthouse 防火墙里删掉之后外部扫描器就摸不到它了。有几个后续可以做的加固。一是在 nginx 层加限流比如limit_req_zone限制单 IP 请求频率防止回调接口被刷。二是把 openclaw 的日志级别调高一点方便出问题时排查但注意别把 API Key 打到日志里。三是定期看 swag 的证书续期日志确认自动续期正常。四是如果 openclaw 支持开启它自身的访问控制比如只允许来自 nginx 所在 IP 的请求。企业微信那边回调 URL 保存成功后建议在后台把“接收消息”的加密模式打开这样即使 URL 泄露没有 EncodingAESKey 也无法伪造请求。openclaw 侧对应配置好 Token 和 AESKey 就行。最后提醒一句openclaw 迭代很快配置项可能会变。如果你升级之后发现回调不通了先看官方文档的变更说明再对照本文的 nginx 配置检查路径和端口有没有变。证书这块swag 的方案基本不用管原生 nginx 的话记得设个提醒证书到期前手动续一下或者干脆也换成 swag。整套流程走下来最花时间的其实是排查 502 和证书链问题。把这两关过了剩下的就是填对企业微信的 CorpID 和 Secret。祝你接入顺利机器人早点在企业微信里跑起来。