1. 本地跑 OpenClaw 之后我为什么第一件事是加固OpenClaw 是一款开源可私有化部署的 AI 智能体与自动化助手支持多模型接入、工作流自动化和代码辅助本地部署后数据完全可控、权限自主管理。但很多人把容器跑起来、面板能打开就以为万事大吉了。我见过太多本地部署的 OpenClaw 实例端口直接绑在 0.0.0.0 上config.toml 里 API Key 明文躺着容器还带着默认能力集在跑。对于做安全的人来说这等于把一台能调用大模型、能执行自动化脚本的机器直接摊在局域网上。这篇聚焦的是部署完成之后的安全加固从 Docker 容器隔离、Node.js 运行权限收敛到 config.toml 关键配置项逐层收紧。我会给出一份可以直接复制的 config.toml 安全骨架、一组加固后的 Docker 启动参数以及三个能实际跑起来的验证动作——容器逃逸检测、端口暴露扫描、权限降级检查。适合已经完成 OpenClaw 本地部署、想把它从“能跑”变成“敢长期挂着”的人。需要说明的是加固不是一次性动作而是一组可复现的基线检查。下面每一步我都会给出命令和预期结果你照着做一遍就能知道自己这台机器到底暴露了多少面。2. 前置把模型调用收敛到可控入口OpenClaw 本身不绑定模型它通过配置去调用外部大模型服务。本地部署场景下模型调用的出口是最容易被忽略的攻击面——配置文件里散落的 Key、日志里打印的请求体、容器网络里明文传输的 token都是风险点。我的做法是把模型调用统一收敛到一个可控入口而不是在每个 agent 配置里各写各的 Key。TaoToken 提供了兼容主流协议的统一 API 入口模型对话、Coding Plan、控制台和 API Keys 管理都在同一套体系里适合作为 OpenClaw 的模型出口。这样 config.toml 里只需要维护一处凭证引用轮换和审计都集中在一个地方。具体来说你需要在 TaoToken 控制台创建一个 API Key然后把它写进环境变量而不是配置文件。OpenClaw 的 config.toml 支持从环境变量读取这一点后面配置骨架里会体现。模型对话入口可以用来验证 Key 是否可用接入文档里有完整的协议说明长期跑编码类 Agent 的话可以看 Coding Plan 的额度模型。这里的关键原则是配置文件里永远不出现明文 Key容器里永远不出现宿主机的完整凭证目录。3. 可复制的 config.toml 安全骨架OpenClaw 的主配置目录默认在~/.openclaw/核心文件是config.toml。下面这份骨架是我在本地环境反复调整后留下的版本重点在权限收敛、日志脱敏和网络绑定三块。你可以直接复制把占位符替换成自己的值。# ~/.openclaw/config.toml # OpenClaw 安全加固骨架 [gateway] # 只监听本机回环禁止 0.0.0.0 host 127.0.0.1 port 18789 # 关闭对外暴露的健康检查详情 health_detail false [web] host 127.0.0.1 port 3000 # 强制身份认证禁止匿名访问 auth_required true # 会话密钥从环境变量读取不落盘 session_secret ${OPENCLAW_SESSION_SECRET} [model] # 统一走兼容协议入口凭证从环境变量注入 provider openai-compatible base_url https://taotoken.net/api api_key ${TAOTOKEN_API_KEY} # 限制单次请求超时避免挂死 timeout_seconds 60 # 关闭请求体日志防止 prompt 泄漏 log_request_body false [security] # 禁止 agent 执行任意 shell白名单模式 allow_shell false # 工作区限制在指定目录内 workspace_root /home/openclaw/workspace # 禁止读取工作区外的文件 restrict_fs true # 关闭遥测 telemetry false # 关闭自动更新 auto_update false [logging] level info # 日志脱敏过滤 key/token/password redact_secrets true # 日志轮转单文件 50MB保留 5 份 max_size_mb 50 max_files 5几个必须解释的点。host 127.0.0.1是硬要求任何写成0.0.0.0的配置都等于把面板交给整个局域网。api_key ${TAOTOKEN_API_KEY}这种写法依赖 OpenClaw 的环境变量展开启动前需要 export 对应变量。allow_shell false会牺牲一部分自动化能力但如果你不是在做需要执行命令的工作流这个开关应该保持关闭。redact_secrets true能过滤掉日志里意外打印的凭证实测下来这一项能挡掉大部分低级泄漏。配置改完后用openclaw config validate检查语法再用openclaw config show --redact确认敏感字段已被替换成占位符。4. Docker 隔离启动参数与权限降级容器化部署是 OpenClaw 本地跑的首选但默认的docker run参数远远不够。下面这组参数是我在安全场景下用的版本核心是四件事只绑回环、丢弃全部能力、禁止提权、限制资源。docker run -d \ --name openclaw \ --restart unless-stopped \ -p 127.0.0.1:3000:3000 \ -p 127.0.0.1:18789:18789 \ -v /home/openclaw/.openclaw:/root/.openclaw:rw \ -v /home/openclaw/workspace:/home/openclaw/workspace:rw \ --cap-dropALL \ --security-opt no-new-privileges:true \ --security-opt seccomp/etc/docker/seccomp-openclaw.json \ --read-only \ --tmpfs /tmp:rw,noexec,nosuid,size64m \ --memory2g \ --cpus1.5 \ --pids-limit256 \ --user 1000:1000 \ -e TAOTOKEN_API_KEY \ -e OPENCLAW_SESSION_SECRET \ openclaw/openclaw:latest逐条说明。--cap-dropALL丢弃所有 Linux 能力OpenClaw 正常跑不需要任何特权。--security-opt no-new-privileges:true阻止容器内进程通过 setuid 提权。--read-only让根文件系统只读配合--tmpfs /tmp给临时目录能挡住大部分写文件型攻击。--user 1000:1000以非 root 用户运行这是权限降级的关键一步——很多镜像默认 root一旦逃逸就是宿主 root。--pids-limit256防止 fork 炸弹。--memory和--cpus限制资源避免被当成挖矿跳板。seccomp 配置文件需要单独准备如果你没有现成的可以先去掉这一行但建议后续补上。一个最小化的 seccomp 配置可以禁用ptrace、mount、reboot等系统调用。启动后用docker inspect openclaw --format {{.HostConfig.CapDrop}} {{.HostConfig.SecurityOpt}}确认能力已丢弃、安全选项已生效。再用docker exec openclaw id确认运行用户不是 root。5. 三项验证逃逸检测、端口扫描、权限降级配置写完不算完得实际验证。下面三个动作我每次部署后都会跑一遍能覆盖大部分配置失效的情况。5.1 容器逃逸检测逃逸检测的核心是确认容器内的进程无法访问宿主机资源。最直接的方式是尝试在容器内读取宿主机的敏感路径以及检查是否挂载了 docker socket。# 1. 确认没有挂载 docker.sock docker inspect openclaw --format {{range .Mounts}}{{.Source}} - {{.Destination}}{{\n}}{{end}} # 2. 容器内尝试访问宿主机进程 docker exec openclaw ls /proc/1/root 21 | head -3 # 3. 检查能力集 docker exec openclaw cat /proc/self/status | grep Cap预期结果挂载列表里只有你显式声明的两个目录没有/var/run/docker.sock/proc/1/root访问被拒绝或只看到容器内视图CapEff显示为0000000000000000表示有效能力为空。如果CapEff不是全零说明--cap-dropALL没生效需要检查启动命令。5.2 端口暴露扫描端口扫描确认只有预期的回环端口在监听没有意外暴露到 0.0.0.0。# 查看宿主机监听端口 ss -tulpn | grep -E 3000|18789 # 从另一台机器尝试连接应失败 # nc -zv 宿主机IP 3000预期结果ss输出里本地地址是127.0.0.1:3000和127.0.0.1:18789不是0.0.0.0:3000。如果看到0.0.0.0说明端口映射写错了需要回到 docker run 参数里检查-p的绑定地址。从外部机器连接应该超时或被拒绝。5.3 权限降级检查权限降级检查确认容器内进程以非 root 运行且无法提权。# 1. 确认运行用户 docker exec openclaw id # 2. 尝试提权应失败 docker exec openclaw sudo -n true 21 # 3. 检查 no-new-privileges 是否生效 docker exec openclaw cat /proc/self/status | grep NoNewPrivs预期结果id输出uid1000 gid1000不是uid0sudo命令不存在或返回权限错误NoNewPrivs值为1。如果id显示 root说明--user参数没生效需要检查镜像是否强制切换了用户。这三项跑完你就有了一份可复现的安全基线。建议把这三段命令写成一个verify.sh每次更新镜像后重新跑一遍。6. 常见报错与排查加固过程中最容易踩的坑基本都集中在权限和网络两块。容器启动后立即退出日志显示 permission denied。这通常是--read-only加上--user 1000:1000导致的OpenClaw 需要写~/.openclaw目录。解决办法是确认挂载目录的宿主权限属于 uid 1000用chown -R 1000:1000 /home/openclaw/.openclaw修正。如果还不行检查是否有其他需要写的路径用--tmpfs补上。面板能打开但模型调用返回 401。大概率是环境变量没传进容器。docker run里的-e TAOTOKEN_API_KEY只传递变量名前提是宿主机已经 export 了这个变量。用docker exec openclaw env | grep TAOTOKEN确认容器内能看到。如果看不到检查宿主机echo $TAOTOKEN_API_KEY是否有值。config.toml 改了但没生效。OpenClaw 读取的是容器内/root/.openclaw/config.toml对应宿主机挂载目录。确认你改的是挂载源文件改完后docker restart openclaw。用docker exec openclaw cat /root/.openclaw/config.toml | head确认容器内看到的是新内容。seccomp 配置导致启动失败。如果你用了自定义 seccomp 文件先临时去掉--security-opt seccomp...这一行确认容器能正常启动再逐步加回限制。seccomp 配置过严会拦截 OpenClaw 需要的系统调用日志里会有Operation not permitted。端口扫描发现 0.0.0.0 监听。检查 docker run 的-p参数必须是127.0.0.1:3000:3000这种形式。如果写成了-p 3000:3000Docker 默认绑 0.0.0.0。改完后docker rm -f openclaw重建容器。排查时优先看docker logs openclaw --tail 50大部分问题日志里都有线索。如果日志被脱敏过滤掉了关键信息临时把redact_secrets设为 false 排查完事记得改回来。7. 把凭证和接入方式固定下来加固做到最后真正需要长期维护的其实是两样东西凭证的存放方式和模型的接入入口。凭证不要写进 config.toml用环境变量注入容器启动时通过-e传递宿主机上用export或者 systemd 的EnvironmentFile管理。轮换的时候只改一处所有 agent 自动生效。模型接入入口建议固定成一个兼容协议的地址这样 OpenClaw 的配置不用跟着模型供应商变。TaoToken 的 API 入口https://taotoken.net/api可以直接填进base_urlKey 在控制台的 API Keys 页面管理接入文档里有完整的参数说明。如果你主要跑编码类 AgentCoding Plan 的额度模型比按次调用更划算想先验证模型连通性用模型对话页面发一条测试消息就行。把这两样固定下来之后你的 OpenClaw 本地部署就有了一条清晰的安全边界容器只绑回环、进程非 root、能力全丢、配置无明文、日志有脱敏、模型出口统一。剩下的就是定期跑一遍第 5 节那三个验证动作确认基线没有漂移。