企业官网建设流程全解析

【OpenClaw 从入门到精通】第 32 篇：安全加固 — 生产环境防护

本系列定位：零基础入门，从安装配置到高级架构全覆盖。

本篇你将学到

• DM 安全策略详解
• 暴露公网前的安全 Runbook
• 沙箱配置最佳实践
• 密钥管理
• 生产环境安全清单

一、安全三层防线

第一层：DM 授权 — 谁能和 Agent 对话？ 第二层：沙箱隔离 — Agent 能做什么？ 第三层：密钥保护 — 敏感信息不泄露

下面是三层防线的交互流程：

二、暴露公网前安全 Runbook

2.1 检查清单

# 1. 运行安全诊断openclaw doctor# 2. 确认所有通道的 DM 策略openclaw config get channels.*.dmPolicy# 期望：全部为 "pairing"# 3. 检查沙箱配置openclaw config get agents.defaults.sandbox.mode# 期望："non-main"# 4. 检查 allowFromopenclaw config get channels.*.allowFrom# 确认没有 ["*"]（除非你知道在做什么）# 5. 检查密钥文件权限ls-la~/.openclaw/secrets/.env# 期望：600（只有所有者可读写）

2.2 推荐架构

互联网 ↓ Nginx / Caddy（TLS + 反向代理） ↓ Tailscale 隧道（推荐）或 VPN ↓ Gateway（仅监听内网 / Tailscale IP） ↓ Docker 沙箱（非 main 会话隔离）

下面是推荐架构的部署流程图：

三、密钥管理

3.1 密钥存储

# 密钥放在 secrets/.env~/.openclaw/secrets/.env# 权限chmod600~/.openclaw/secrets/.env# 不提交 Gitecho"secrets/">>~/.openclaw/.gitignore

3.2 配置中引用

{"channels":{"telegram":{"token":"${TELEGRAM_BOT_TOKEN}"}}}

四、生产安全清单

## OpenClaw 生产安全清单 ### DM 访问控制 - [ ] 所有通道 dmPolicy = "pairing" - [ ] allowFrom 未使用 ["*"] - [ ] Pairing 审批流程已验证 ### 沙箱 - [ ] sandbox.mode = "non-main" - [ ] deny 列表包含 browser/canvas/nodes/cron/gateway - [ ] Docker 后端已配置 ### 网络 - [ ] Gateway 不直接暴露公网 - [ ] 使用 Tailscale 或 VPN - [ ] Nginx/Caddy 提供 TLS ### 密钥 - [ ] secrets/.env 权限 600 - [ ] 配置中用 ${VAR} 引用 - [ ] .gitignore 排除 secrets/ ### 审计 - [ ] openclaw doctor 通过 - [ ] 日志保留策略已配置 - [ ] Token 用量监控已设置

下面是安全清单检查流程：

本篇小结

下篇预告

第 33 篇：远程访问与 Web 界面

如果本篇内容对你有帮助，欢迎点赞收藏！有任何疑问，欢迎在评论区交流。