【OpenClaw 从入门到精通】第 32 篇安全加固 — 生产环境防护本系列定位零基础入门从安装配置到高级架构全覆盖。本篇你将学到DM 安全策略详解暴露公网前的安全 Runbook沙箱配置最佳实践密钥管理生产环境安全清单一、安全三层防线第一层DM 授权 — 谁能和 Agent 对话 第二层沙箱隔离 — Agent 能做什么 第三层密钥保护 — 敏感信息不泄露下面是三层防线的交互流程配对验证通过配对失败非 main 会话违规操作外部请求第一层DM 授权第二层沙箱隔离拒绝访问第三层密钥保护沙箱拦截安全执行二、暴露公网前安全 Runbook2.1 检查清单# 1. 运行安全诊断openclaw doctor# 2. 确认所有通道的 DM 策略openclaw config get channels.*.dmPolicy# 期望全部为 pairing# 3. 检查沙箱配置openclaw config get agents.defaults.sandbox.mode# 期望non-main# 4. 检查 allowFromopenclaw config get channels.*.allowFrom# 确认没有 [*]除非你知道在做什么# 5. 检查密钥文件权限ls-la~/.openclaw/secrets/.env# 期望600只有所有者可读写2.2 推荐架构互联网 ↓ Nginx / CaddyTLS 反向代理 ↓ Tailscale 隧道推荐或 VPN ↓ Gateway仅监听内网 / Tailscale IP ↓ Docker 沙箱非 main 会话隔离下面是推荐架构的部署流程图内网安全区域TLS 加密内网监听密钥管理互联网用户Nginx / CaddyTailscale 隧道GatewayDocker 沙箱secrets/.env三、密钥管理3.1 密钥存储# 密钥放在 secrets/.env~/.openclaw/secrets/.env# 权限chmod600~/.openclaw/secrets/.env# 不提交 Gitechosecrets/~/.openclaw/.gitignore3.2 配置中引用{channels:{telegram:{token:${TELEGRAM_BOT_TOKEN}}}}四、生产安全清单## OpenClaw 生产安全清单 ### DM 访问控制 - [ ] 所有通道 dmPolicy pairing - [ ] allowFrom 未使用 [*] - [ ] Pairing 审批流程已验证 ### 沙箱 - [ ] sandbox.mode non-main - [ ] deny 列表包含 browser/canvas/nodes/cron/gateway - [ ] Docker 后端已配置 ### 网络 - [ ] Gateway 不直接暴露公网 - [ ] 使用 Tailscale 或 VPN - [ ] Nginx/Caddy 提供 TLS ### 密钥 - [ ] secrets/.env 权限 600 - [ ] 配置中用 ${VAR} 引用 - [ ] .gitignore 排除 secrets/ ### 审计 - [ ] openclaw doctor 通过 - [ ] 日志保留策略已配置 - [ ] Token 用量监控已设置下面是安全清单检查流程dmPolicypairingallowFrom 未用[*]sandbox.modenon-maindeny 列表已配置Gateway 不暴露公网TLS 已启用权限 600${VAR} 引用openclaw doctor 通过日志策略已配置开始安全检查DM 访问控制沙箱配置网络配置密钥管理审计检查✅ 生产就绪本篇小结知识点核心内容三层防线DM 授权 沙箱 密钥DM Runbook暴露前逐项检查推荐架构Tailscale Nginx Docker 沙箱密钥管理secrets/.env ${VAR} 引用安全清单DM 沙箱 网络 密钥 审计下篇预告第 33 篇远程访问与 Web 界面如果本篇内容对你有帮助欢迎点赞收藏有任何疑问欢迎在评论区交流。
