企业官网建设流程全解析

1. 为什么局域网里打不开 OpenClaw Control UI

很多人第一次把 OpenClaw 跑起来，本机http://localhost:18789一切正常，结果换到客厅的笔记本、手机或者另一台台式机上，浏览器转半天最后给你一句「无法访问此网站」。这不是 OpenClaw 坏了，而是 Control UI 默认只监听回环地址，也就是只认本机。局域网访问配置这件事，本质上是三件事的组合：服务监听地址要放开、访问来源要有白名单、鉴权要能扛住同网段里的扫描。

我先把结论摆出来：OpenClaw Control UI 是 OpenClaw 这个 AI 助手框架的网页控制台，你能在里面看会话、管 Agent、调工具、改配置。它适合谁？适合把 OpenClaw 部署在家里 NAS、迷你主机、旧笔记本上，然后想用平板或手机随时接管的人。默认配置下它只服务127.0.0.1，所以局域网访问配置教程要解决的核心就是gateway.bind、gateway.controlUi.allowedOrigins和gateway.auth这三块。

这里有个容易混淆的点：bind决定「谁能连到端口」，allowedOrigins决定「浏览器里的页面来源是否被信任」，auth.token决定「连上来的人是不是你」。三者缺一，要么连不上，要么连上了但报 Origin not allowed，要么干脆裸奔。下面我会按「先跑通、再加固、再接 TaoToken 统一 Key」的顺序走一遍，每一步都给可复制的片段和验证命令。

另外提前说一句模型通道的事。OpenClaw 本身是框架，真正干活的大模型需要外部 API。如果你手上有多个模型供应商，一个个配 Key 很烦，可以用 TaoToken 做统一入口，Base URL 填https://taotoken.net/api，Key 用同一把，模型 ID 按需切换。这样 Control UI 里切换模型不用改一堆配置。官网在 https://taotoken.net/?utm_source=taotoken_aicg_blog_end&utm_medium=csdn&utm_campaign=rewrite&utm_content= ，需要看文档和 Key 管理可以从这里进。

2. TaoToken 统一 Key 接入前的准备与概念对齐

在动 OpenClaw 配置文件之前，先把「模型通道」和「Control UI 访问通道」这两条线分开想清楚，不然很容易把两件事的报错混在一起。Control UI 访问通道管的是「你的浏览器能不能打开这个网页」，模型通道管的是「网页里的对话能不能调到大模型」。局域网访问配置属于前者，TaoToken 接入属于后者。

TaoToken 在这里的角色是一个兼容 OpenAI 风格接口的统一网关。你不需要在 OpenClaw 里为每个模型厂商写一套鉴权逻辑，只要把 Base URL 指向https://taotoken.net/api，把 Key 填成你在 TaoToken 控制台生成的那把，然后在模型 ID 上写具体型号即可。这样做的好处是：以后换模型只改一个 Model ID 字段，Base URL 和 Key 都不动。对于经常在 Claude、GPT、国产模型之间来回切的人来说，省掉的是反复改配置、反复重启的麻烦。

你需要提前准备三样东西。第一是 TaoToken 的 API Key，去控制台创建，路径是 https://taotoken.net/console?utm_source=taotoken_aicg_blog_end&utm_medium=csdn&utm_campaign=rewrite&utm_content= ，创建完复制出来，注意它通常只完整显示一次。第二是确认你要用的模型 ID，可以在模型对话页面先试一下，地址是 https://taotoken.net/models?utm_source=taotoken_aicg_blog_end&utm_medium=csdn&utm_campaign=rewrite&utm_content= ，能正常对话说明这把 Key 和这个模型 ID 是通的。第三是 OpenClaw 的配置文件路径，Linux/macOS 一般在~/.openclaw/openclaw.json，Windows 在%USERPROFILE%\.openclaw\openclaw.json。

这里要提醒一个安全边界：TaoToken 的 Key 是模型调用凭证，OpenClaw 的auth.token是 Control UI 登录凭证，两者不要复用，也不要把任何一个提交到 Git。我见过有人图省事把两个 Token 写成一样，结果 Control UI 的 Token 在浏览器里暴露后，模型额度也跟着被人刷。分开管理，出问题时也能快速定位是哪一层泄露。

还有一点，OpenClaw 的模型配置字段在不同版本里命名略有差异，常见的是providers或models下面挂baseUrl、apiKey、model。你打开自己的配置文件先搜一下baseUrl关键字，确认字段名再改，不要照抄一个不存在的键，否则重启后配置加载失败，Control UI 直接起不来。下面第三节我会给一份完整片段，你对照着替换即可。

3. 可复制的 Control UI 局域网访问配置片段

这一节是全文最核心的部分，直接给可复制的 JSON 片段。先备份原配置，这是铁律：

cp ~/.openclaw/openclaw.json ~/.openclaw/openclaw.json.backup

然后生成一个足够强的 Control UI Token，别用123456：

node -e "console.log(require('crypto').randomBytes(32).toString('hex'))"

把输出复制下来，填到下面的auth.token。接着是完整配置片段，假设你的局域网网段是192.168.1.0/24，部署 OpenClaw 的机器 IP 是192.168.1.50：

{ "gateway": { "mode": "local", "port": 18789, "bind": "lan", "auth": { "mode": "token", "token": "把刚才生成的64位hex粘贴到这里", "rateLimit": { "maxAttempts": 10, "windowMs": 60000, "lockoutMs": 300000 } }, "controlUi": { "allowInsecureAuth": true, "dangerouslyDisableDeviceAuth": false, "dangerouslyAllowHostHeaderOriginFallback": false, "allowedOrigins": [ "http://localhost:18789", "http://127.0.0.1:18789", "http://192.168.1.50:18789", "http://192.168.1.51:18789" ] } }, "providers": { "taotoken": { "baseUrl": "https://taotoken.net/api", "apiKey": "你的TaoToken API Key", "model": "你确认可用的模型ID" } } }

逐项解释一下关键字段。bind设成lan表示监听0.0.0.0，局域网设备才能连；如果你只想绑定某张网卡，可以写具体 IP 如192.168.1.50。allowedOrigins里必须包含你实际访问时浏览器地址栏里的完整来源，包括协议、IP、端口，少一个字符都会报 Origin not allowed。allowInsecureAuth在纯 HTTP 局域网下要设true，否则 Token 没法在非 HTTPS 环境提交；但如果你后面套了 HTTPS 或者走加密隧道，就改回false。

dangerouslyDisableDeviceAuth我建议保持false，也就是启用设备认证。名字里带 dangerously 不是吓唬人，关掉它意味着任何拿到 Token 的设备都能直接进，开了之后新设备首次连接需要配对确认，多一道物理门槛。dangerouslyAllowHostHeaderOriginFallback同理保持false，避免 DNS 重绑定类攻击绕过 Origin 校验。

模型那段providers.taotoken就是 TaoToken 统一 Key 的落点。baseUrl固定https://taotoken.net/api，apiKey填你的 Key，model填模型 ID。如果你的 OpenClaw 版本用的是models而不是providers，把键名换掉，里面三个字段名一般一致。改完保存，顺手把权限收紧：

chmod 600 ~/.openclaw/openclaw.json

这一步很多人跳过，结果同机器上其他用户能直接读到你的 Token。600 表示只有属主可读写，是配置文件的最低要求。

4. 验证局域网访问与模型连通性

配置改完不重启等于没改。先重启 Gateway：

openclaw gateway restart

然后确认端口真的监听到了0.0.0.0而不是127.0.0.1：

netstat -tlnp | grep 18789

你期望看到的是0.0.0.0:18789或:::18789。如果还是127.0.0.1:18789，说明bind没生效，回去检查 JSON 有没有语法错误，可以用python -m json.tool ~/.openclaw/openclaw.json校验格式。

本机自测：

curl -I http://127.0.0.1:18789

局域网自测，从另一台设备执行，把 IP 换成部署机的：

curl -I http://192.168.1.50:18789

能返回 HTTP 头就说明网络层通了。如果 curl 通但浏览器报 Origin not allowed，那就是allowedOrigins没加对，把浏览器地址栏的完整来源原样加进去再重启。

模型连通性单独测，不要和 Control UI 混在一起。直接用 curl 打 TaoToken 的接口：

curl https://taotoken.net/api/v1/chat/completions \ -H "Authorization: Bearer 你的TaoToken API Key" \ -H "Content-Type: application/json" \ -d '{ "model": "你确认可用的模型ID", "messages": [{"role": "user", "content": "只回复ok"}] }'

返回里带choices且内容正常，说明 Key 和模型 ID 都对。这时候回到 Control UI，新建一个会话发一句话，能出结果就代表两条通道都打通了。如果 Control UI 能打开但对话报错，问题一定在模型通道，去查baseUrl有没有多写斜杠、Key 有没有空格、模型 ID 是否拼错。

防火墙别忘了。Ubuntu 用sudo ufw allow 18789/tcp，CentOS 用sudo firewall-cmd --add-port=18789/tcp --permanent && sudo firewall-cmd --reload。Windows 的话在高级安全防火墙里放行入站 18789。这一步漏了，前面全对也连不上。

5. 常见报错排查：401、Origin not allowed 与配置不生效

排错的核心思路是「先分层，再定位」。Control UI 打不开、打开了登录失败、登录了对话失败，这是三层不同的问题，别混着查。

第一类，401 或 Token 认证失败。表现是页面能打开，输入 Token 后被拒。先确认 Token 复制完整，前后没有空格，JSON 里引号闭合正确。然后确认你填的是gateway.auth.token，不是 TaoToken 的 Key。这两个搞混是最常见的。如果确认无误还是 401，检查auth.mode是不是token，写成none或password都会对不上。

第二类，Origin not allowed。这是浏览器控制台里最常见的报错，页面直接白屏或提示来源不被允许。原因只有一个：你访问的地址不在allowedOrigins里。注意匹配是精确的，http://192.168.1.50:18789和http://192.168.1.50:18789/带不带末尾斜杠可能都算不同来源，按浏览器地址栏原样抄。手机访问时 IP 可能和电脑不同，也要单独加。

第三类，配置改了不生效。九成是三个原因：JSON 语法错误导致整份配置没加载、编辑了错误的文件、Gateway 没真正重启。用python -m json.tool校验，用openclaw status看当前加载的配置路径，用openclaw gateway restart而不是只关不启。如果重启后netstat里端口还在但行为没变，可能是旧进程没退干净，ps aux | grep openclaw找到后手动结束再启。

第四类，模型侧报错。如果返回里出现reading 'choices'之类的字段读取错误，通常是接口返回结构和你预期不符，多半是baseUrl写错导致打到了非兼容端点，或者模型 ID 不存在返回了错误体。先单独用第 4 节的 curl 验证，curl 通了再回 Control UI。如果报 OAuth 相关错误，说明你误用了需要 OAuth 的通道，TaoToken 走的是 Bearer Key，不需要 OAuth 流程，检查是不是把别的配置粘进来了。

第五类，local proxy failed。这个一般出现在你本机设置了系统级网络代理，OpenClaw 请求模型时被代理拦截。临时关掉代理再试，或者确认代理规则没有把taotoken.net也劫持了。这类问题和 Control UI 局域网访问无关，别去改bind。

排查时养成看日志的习惯，openclaw gateway logs或对应日志文件里通常有更具体的堆栈。把报错原文贴出来搜，比盲改配置快得多。

6. 安全加固清单与长期使用建议

局域网不等于安全区。同一个 Wi-Fi 下可能有访客设备、智能家居、来路不明的终端，所以加固不是可选项。下面这份清单建议逐条过一遍。

Token 强度：Control UI 的auth.token至少 32 位随机字符，用第 3 节的 node 命令生成，不要用生日、单词、连续数字。TaoToken 的 Key 同样不要外泄，两者分开存放。

来源白名单：allowedOrigins只写你真正会用的设备地址，不要图省事写["*"]。设备换了 IP 就更新，旧 IP 及时删掉。

速率限制：rateLimit一定要配，maxAttempts10 次、窗口 60 秒、锁定 5 分钟是个合理起点。没有它，同网段的人可以慢慢爆破你的 Token。

设备认证：dangerouslyDisableDeviceAuth保持false。新设备首次连接要配对，虽然多一步，但 Token 万一泄露，攻击者没有你的设备指纹也进不来。

Host 校验：dangerouslyAllowHostHeaderOriginFallback保持false，别为了省事打开。

文件权限：chmod 600 ~/.openclaw/openclaw.json，并且确认这个文件不在任何 Git 仓库里。可以用git check-ignore验证，或者干脆把配置目录排除在版本控制外。

HTTPS 与隧道：如果只是家里用，HTTP 加白名单够用；如果要跨网络访问，优先用加密隧道方案而不是直接把端口映射到公网。公网暴露 18789 是高风险操作，能不做就不做。

定期审计：openclaw status --deep看有没有 CRITICAL 警告，有就按提示改。Token 建议每 90 天轮换一次，轮换时先加新 Token 再删旧的，避免自己把自己锁在外面。

长期使用还有个实用技巧：把 Control UI 的访问地址做成书签，手机和电脑各存一份，省得每次翻 IP。如果家里路由器支持固定 DHCP，给部署机绑一个固定内网 IP，这样allowedOrigins就不用频繁改。模型侧如果经常切换，可以在 TaoToken 控制台把常用模型整理好，需要换的时候只改 OpenClaw 配置里的model字段，Base URL 和 Key 不动，重启一次即可。需要管理 Key 或查看用量，从 https://taotoken.net/api-keys?utm_source=taotoken_aicg_blog_end&utm_medium=csdn&utm_campaign=rewrite&utm_content= 进；想先验证模型是否可用，去 https://taotoken.net/models?utm_source=taotoken_aicg_blog_end&utm_medium=csdn&utm_campaign=rewrite&utm_content= 试一句；如果是长期跑编码类 Agent 任务，可以了解下 Coding Plan，地址是 https://taotoken.net/coding-plan?utm_source=taotoken_aicg_blog_end&utm_medium=csdn&utm_campaign=rewrite&utm_content= 。接入文档在 https://taotoken.net/doc?utm_source=taotoken_aicg_blog_end&utm_medium=csdn&utm_campaign=rewrite&utm_content= ，字段有疑问先查文档再改配置，比反复重启省时间。