1. 为什么 OpenClaw 装完总是「网关离线」和「权限不足」OpenClaw 龙虾智能体是一套跑在本地的 AI 自动化工具能模拟键鼠、读写本地文件、管控浏览器进程把「帮我整理下载文件夹」「批量归档桌面文件」这类指令直接变成电脑上的真实操作。它适合想在自己机器上做自动化、又不想把数据交给云端的人。但我在几台 Win11 和 macOS 上装下来安装阶段最高频的两个拦路虎就是右上角一直显示 Gateway 离线以及启动时弹权限不足、程序被拦截。这两个报错看着吓人其实根因很集中。网关离线本质是本地 Gateway 服务没起来或者起来了但被安全软件掐断了本地回环通信权限不足本质是程序没有拿到键鼠模拟、文件读写、浏览器进程管控这几类系统调用所需的授权。OpenClaw 要干这些活被安全软件标记成「异常行为」几乎是必然的这属于程序固有运行特征不是它真有问题。这篇不重复讲怎么点下一步而是把安装阶段这两类报错拆开给你能直接复制的 config.toml / settings.json 配置骨架再配上逐步验证动作。装完之后如果你还要接大模型做联网调用我会在第三节给出 TaoToken 的配置骨架让智能体恢复正常的模型调用能力。下面按「先修网关、再修权限、最后接模型」的顺序走。2. 前置准备路径、权限与 TaoToken 接入位动手改配置前先把几个硬性前提确认掉否则后面改了也白改。安装目录必须是纯英文不能有中文、空格、特殊符号。D:\OpenClaw、E:\AI\OpenClaw这种是合规的D:\软件\OpenClaw、C:\Program Files\OpenClaw这种会直接导致服务起不来或权限判定异常。macOS 端同理放在~/OpenClaw这类纯英文路径下最稳。安全软件要临时放行。360、腾讯电脑管家、火绒、Win11 自带 Defender 实时防护都可能把安装文件或 Gateway 进程隔离掉。安装阶段先临时关闭装完再把 OpenClaw 的安装目录加进白名单而不是一直裸奔。如果你打算让龙虾智能体调用大模型比如做联网检索、内容整理需要提前准备一个可用的 API 入口。我用的是 TaoToken官网在 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content API 基址是 https://taotoken.net/api 。它的作用就是给你的智能体提供一个统一的模型调用出口配置时把 base_url 和 key 填进 OpenClaw 的模型配置段即可。API Key 在控制台生成https://taotoken.net/console/api-keys?utm_sourcetaotoken_aicg_blog_endutm_contentapi_keysutm_campaignrewrite 。注意TaoToken 是合规的模型 API 接入服务配置时只填 base_url 和 key不要把它当成任何形式的网络代理来用。3. 可复制配置config.toml 与 settings.json 骨架OpenClaw 的配置分两层config.toml管 Gateway 服务、监听地址、模型接入settings.json管权限、路径、自动化能力开关。下面两份骨架可以直接抄改掉路径和 key 就能用。3.1 config.toml修网关离线的核心网关离线的头号原因是监听地址被写成了外网地址或者端口被占用。本地智能体的 Gateway 应该只监听回环地址。# config.toml —— OpenClaw Gateway 与模型接入骨架 [gateway] # 只监听本地回环避免被安全软件判定为对外通信 host 127.0.0.1 port 8765 # 网关自启避免手动拉起 auto_start true # 健康检查间隔秒离线判定就靠它 health_check_interval 15 [gateway.log] level info # 日志路径用纯英文方便排障时直接看 file D:/OpenClaw/logs/gateway.log [permission] # 键鼠模拟、文件读写、浏览器管控三类能力开关 keyboard_mouse true file_rw true browser_control true # 以管理员/高权限模式运行解决权限不足 run_as_admin true [model] # TaoToken 统一接入出口 provider openai_compatible base_url https://taotoken.net/api api_key sk-你的TaoToken密钥 model claude-sonnet-4-5 timeout 60几个关键点host必须是127.0.0.1写成0.0.0.0会让安全软件警觉也更容易出现网关握手失败port如果 8765 被占用换成 8766、8770 都行但settings.json里的端口要同步改run_as_admin true是解决权限不足的第一道开关。3.2 settings.json修权限不足的核心权限不足往往不是单一原因而是路径、授权、安全软件三者叠加。这份骨架把容易漏的项都列全了。{ install_path: D:/OpenClaw, language: zh-CN, permissions: { accessibility: true, screen_recording: true, file_system: { allow_read: [D:/Downloads, D:/Desktop], allow_write: [D:/Downloads, D:/Desktop], deny: [C:/Windows, C:/Program Files] }, browser: { enabled: true, allow_launch: true } }, gateway: { host: 127.0.0.1, port: 8765 }, security: { whitelist_self: true, skip_signature_check: true } }accessibility和screen_recording是键鼠模拟和屏幕读取的前提Win11 和 macOS 都要显式打开file_system里把允许读写的目录写清楚别一上来就给全盘权限既安全又不容易触发拦截skip_signature_check对应的是无数字签名应用被系统拦截的场景配合「仍要运行」一起用。提示两份配置里的路径、端口、key 必须一致。config.toml 写 8765settings.json 也写 8765否则网关起来了但智能体连不上照样显示离线。4. 逐步验证从网关在线到模型可调用配置改完别急着开干按下面四步验证每步都有明确的成功标志。第一步验证 Gateway 是否真的起来了。打开终端执行curl -s http://127.0.0.1:8765/health返回{status:ok}或类似结构说明网关进程正常。如果返回连接被拒绝说明服务没起来去看D:/OpenClaw/logs/gateway.log最后几行通常是端口占用或路径含中文。第二步验证权限是否生效。在 OpenClaw 主界面下发一条最小指令比如「读取 D:/Downloads 下的文件列表」。能正常返回文件名说明文件读写权限通了如果报权限不足回到 settings.json 检查allow_read是否包含该目录并确认程序是以管理员身份启动的。第三步验证模型调用。用 TaoToken 的模型对话入口先单独测一下 key 是否可用https://taotoken.net/models?utm_sourcetaotoken_aicg_blog_endutm_contentmodel_chatutm_campaignrewrite 。在 OpenClaw 里下发「帮我检索 AI 智能体行业趋势并整理成表格」如果模型能返回内容并触发浏览器操作说明 base_url 和 key 配置正确。第四步验证网关稳定性。让 OpenClaw 连续跑 3 到 5 分钟观察右上角是否一直保持「Gateway 在线」。如果中途掉线多半是安全软件在后台拦截把安装目录加进白名单再观察。# 查看网关进程是否存活Windows PowerShell Get-Process | Where-Object { $_.ProcessName -like *openclaw* }能列出进程且 CPU 占用平稳基本就稳了。5. 本篇常见错排查网关离线与权限不足对照表下面这张表是我踩过的坑里最高频的几类按现象对因排查最快。现象最可能原因修复动作Gateway 持续离线host 写成 0.0.0.0 或被安全软件拦截改回 127.0.0.1关闭 Defender 实时防护后重启Gateway 起来又掉端口被占用换 8766/8770同步改 settings.json权限不足弹窗未以管理员身份运行右键程序→以管理员身份运行文件读写被拒路径含中文或未加白名单改纯英文路径allow_read 补目录键鼠无法操控accessibility 未开settings.json 打开对应开关并重启安装包被删安全软件误判临时关闭安全软件重新解压再装模型调用 401key 错误或 base_url 写错核对 https://taotoken.net/api 与密钥排障时优先看日志gateway.log里会明确写是端口问题还是权限问题比盲猜快得多。如果日志里出现permission denied直接跳到权限段出现connection refused跳到网关段。6. 接上模型之后让龙虾智能体真正跑起来网关和权限修好只是让 OpenClaw 能正常启动和操作本机。要让它做联网检索、内容整理这类需要模型能力的活还得把模型接入配稳。我实测下来把 TaoToken 的 base_url 固定成https://taotoken.net/apikey 从控制台生成后填进 config.toml 的[model]段是最省事的做法。如果你后面要做长期编码或 Agent 类任务可以看下 Coding Planhttps://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_contentcoding_planutm_campaignrewrite 它更适合高频调用的场景。接入文档在 https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_contentdocutm_campaignrewrite 配置字段和报错码都能查到。Claude Code 相关的接入说明在 https://taotoken.net/claude-code-anthropic?utm_sourcetaotoken_aicg_blog_endutm_contentclaude_codeutm_campaignrewrite 。最后留一个我自己的习惯每次改完 config.toml 或 settings.json先跑一遍第 4 节的四步验证再下发正式任务。这样网关离线和权限不足这两类问题基本在安装阶段就能清干净不会拖到用的时候才炸。