不靠谱的糖饼1. OpenClaw 到底是什么
OpenClaw 这名字最近在 AI 圈子里出现的频率很高，尤其是当你想搞一个“能一直挂在网上、随时听你指挥”的个人 AI 助理时。简单说，OpenClaw 是一个开源的个人 AI 助理网关（AI Assistant Gateway），它把大模型和你的日常工具连接起来：你在飞书、Discord、命令行甚至网页里发一句话，它就能调用模型理解，然后执行对应技能，把结果回给你。这篇文章我会用腾讯云服务器从零跑通一遍，包括官方一键脚本、Docker 可选方案、安全组配置和常见坑，适合刚接触 OpenClaw 或准备把它放到公网常驻的人。
1.1 对小白最友好的一句话理解
把 OpenClaw 想象成给大模型装了嘴、耳朵和手。
大模型本身只是一个会“想”的脑袋，它不会主动去看你的服务器日志，也不会自己去飞书群里回消息。你单独聊 ChatGPT、Claude，每次都要打开网页、复制粘贴，这种交互没办法自动化。OpenClaw 做的事情很简单：它监听各种入口，收到你发来的话之后，把这句话交给大模型理解，再根据理解结果去调用对应的“技能”，最后把执行结果通过原渠道回复给你。
用生活类比就是：OpenClaw 像一个训练有素的私人助理，你不需要亲自跑到各个部门办事，只需要发一条消息说“帮我把今天的新增用户数整理成日报”，它会自己去拉数据、写文档、发给对应的人。整个过程中，模型负责“思考”，OpenClaw 负责“跑腿”。它和开源模型、闭源模型都能配合，也不限制你非得用哪一家。
1.2 架构与核心模块
OpenClaw 的运行时拆得比较清晰，主要包含两层：
- Gateway 层：负责接收消息、管理会话、路由请求、记录状态。你可以理解成整个系统的入口大厅。
- Worker 层：负责真正执行任务，比如跑命令、写文件、调用 API。它更像干活的员工。
安装之后，默认会在用户目录下生成一个 .openclaw 文件夹，里面有几个关键东西：
| 路径或文件 | 作用 |
|---|---|
~/.openclaw/config.json |
主配置文件，模型、渠道、技能都在这里 |
~/.openclaw/workspace/ |
工作目录，AI 读写文件默认都在这个范围里 |
~/.openclaw/skills/ |
已安装的技能，和 ClawHub 联动 |
~/.openclaw/exec-approvals.json |
命令执行授权记录 |
~/.openclaw/runtime.json |
运行时元数据，记录当前版本、进程状态、PID、模型配置等 |
很多人在排查问题时会忽略 runtime.json，其实它非常有用。如果你发现进程显示存在但 Web 界面进不去，先看这个文件里的 PID 和监听端口，很多问题一眼就能定位。
这里还要说清楚一个容易混淆的概念：OpenClaw 和 ClawHub 不是同一个东西。OpenClaw 是运行时引擎，ClawHub 是技能分发市场，类似于手机和手机应用商店的关系。你需要先装 OpenClaw，然后再去 ClawHub 安装各种技能，比如飞书通知、Obsidian 项目管理、定时任务、日志分析等。技能安装命令一般是：
bash复制openclaw skill search feishu
openclaw skill install feishu-notify
openclaw skill list
1.3 它能做什么，解决什么问题
部署 OpenClaw 最核心的价值，是让 AI 从一个“有问才答的聊天框”，变成一个“常驻在线的自动化执行者”。我推荐你重点尝试这几个场景：
- 团队机器人：把 OpenClaw 接进飞书或 Discord，群成员发
/日报、/查订单、/看日志，它自动执行脚本并返回结果。对非技术团队来说，这比给每个人开服务器权限安全得多。 - 个人项目管理：通过 Obsidian 相关技能，让它在你的笔记库里维护项目进度，每天早上整理待办清单，写入指定文档。热词里有人搜“obsidian结合openclaw做项目管理”，这条路是可行的，原理就是让技能拥有读写你 Vault 目录的权限。
- 运维监控助理：让 OpenClaw 定时检查服务器进程、磁盘空间、Redis 状态，异常时主动推送告警到 IM。相当于你多了一个 24 小时值班的初级运维。
- 自定义模型入口：OpenClaw 的模型层是 OpenAI 兼容适配器，你可以把
baseUrl指向任意 OpenAI-compatible 中转站或自建推理服务，不一定要用官方 API。这也是很多人搜“openclaw 自定义中转站”的原因。
如果你之前玩过 Clawdbot，会发现 OpenClaw 在配置思路上一脉相承。它实际上就是社区里现阶段最活跃的替代与延续方案之一，所以很多 Clawdbot 老配置可以直接平移过来用。
需要模型API调用？ 免费领10W Token，多模型网关一键接入 Claude、DeepSeek 等主流模型。
2. 为什么建议部署在腾讯云上
2.1 本地部署的痛点
OpenClaw 可以装在 Windows、macOS 和 Linux 上，本地跑通并不难。但如果你想让它真正成为“常驻助理”，本地部署有几个绕不开的问题：
- 电脑不能关机，睡眠和断网也会导致服务不可用；
- 家用宽带有 NAT，外网无法稳定回调到你的机器；
- 飞书、Discord 这类平台接入往往需要公网 Webhook 地址，本地拿不到；
- 局域网 IP 或家庭宽带变化后，配置要重改。
放到云服务器上之后，这些问题基本都消失了。腾讯云有固定公网 IP，你可以随意配置域名解析、HTTPS 证书和 Webhook 回调。OpenClaw 的进程跑在云端，本地电脑关机也不影响它继续工作。
2.2 服务器选型与初始化
如果你只是单纯跑 OpenClaw 网关，不打算在同一台机器上跑本地大模型，最入门的 2 核 2G 配置就够用。我个人的建议是选 2 核 4G，腾讯云轻量应用服务器或者云服务器 CVM 都可以，系统镜像选 Ubuntu 22.04 LTS，硬盘默认 50GB SSD 足够。
如果计划在同一台机器上再跑 Ollama 或 NVIDIA NIM 做本地推理，那配置就要往上走。7B 左右的量化模型至少需要 4 核 8G，跑 70B 级别模型建议直接上带 GPU 的实例，不然 CPU 推理延迟会让人崩溃。我的实践结论是：模型推理和大模型网关最好分开，OpenClaw 用一台小机器常驻，模型服务放 GPU 机器或直接调云端 API，两者通过内网或公网 API 连接。
初始化时只需要做两件事，一是更新系统，二是确认时间和时区正确：
bash复制ssh root@你的服务器IP
sudo apt update && sudo apt upgrade -y
sudo timedatectl set-timezone Asia/Shanghai
时区问题容易被忽略，但定时任务和日志时间全依赖它。如果时区不对，你看到的日报时间永远是错的，排查起来还很隐蔽。
2.3 域名与端口规划
我强烈建议在部署 OpenClaw 之前先把域名规划好。没有域名也能用 IP 访问，但后面接飞书、企业微信、Webhook 时，回调地址需要一个稳定的公网域名，而且 HTTPS 证书也依赖域名。
在腾讯云上申请二级域名非常简单，核心两步：
- 在 DNSPod 解析记录里添加一条 A 记录，主机记录填
openclaw，记录值填你的服务器公网 IP； - 等解析生效，用
ping openclaw.example.com或dig openclaw.example.com +short验证。
后续如果你要用 Caddy 自动申请 HTTPS 证书，只需要在服务器上装好 Caddy，然后用类似下面的配置做反向代理：
code复制openclaw.example.com {
reverse_proxy 127.0.0.1:3000
}
端口规划上，OpenClaw 默认的 Web 控制台端口通常是 3000，具体以你安装脚本的输出为准。不要把 3000、22、443 之外的端口全部对公网开放，尤其是 Redis、数据库、Docker 管理端口。后面我会专门讲安全组怎么配。
3. 腾讯云一键部署实操
3.1 部署前环境检查
在跑一键脚本之前，先确认服务器基础环境没问题，避免安装到一半因为缺依赖或者磁盘不够而中断。
bash复制whoami
uname -a
free -h
df -h
- 用 root 或具有 sudo 权限的用户操作；
- 内存建议不低于 2G，磁盘剩余空间不低于 10G；
- 系统建议 Ubuntu 20.04 以上或 Debian 11 以上。
如果你用的是 Windows 本机跑 OpenClaw，也需要先检查 PowerShell 版本，建议 Windows 10/11 自带 PowerShell 5.1 以上，很多旧系统执行安装脚本会报执行策略错误，这个在常见问题里具体说。
3.2 官方一键脚本部署（Linux）
OpenClaw 的官网提供了 Linux 一键安装脚本。不要直接复制网上的命令就 curl | bash，我的习惯是先下载下来看一眼脚本内容，确认没有可疑行为再执行：
bash复制cd ~
curl -fsSL https://openclaw.ai/install.sh -o install.sh
less install.sh
bash install.sh
如果你懒得看，直接执行下面的命令也没问题，但我仍然建议至少扫一眼安装脚本，这是安全习惯问题：
bash复制curl -fsSL https://openclaw.ai/install.sh | bash
一键脚本会帮你做这些事情：
- 检测系统架构和依赖；
- 下载 OpenClaw 二进制文件到用户目录；
- 初始化
~/.openclaw目录结构； - 注册系统服务（Linux 下通常是 systemd）；
- 输出 Web 控制台地址、默认访问令牌、日志文件位置等关键信息。
安装完成后，先跑一下版本命令确认安装成功：
bash复制openclaw version
openclaw status
如果显示出版本号并且进程状态是 running，说明安装成功。然后打开浏览器访问 http://服务器IP:3000，使用安装脚本输出的访问令牌登录控制台。首次进入后会有一个引导页面，让你选择模型 provider，你可以先跳过，后面用配置文件或 Web 后台再填。
3.3 Windows、macOS 安装方式
有一些人是在 Windows 电脑上本地试用的，热词里也频繁出现“win11 openclaw安装”“powershell安装openclaw 能指定目录吗”，这里一起说。
Windows 推荐用 PowerShell 安装脚本。打开 PowerShell，执行：
powershell复制Set-ExecutionPolicy -Scope Process RemoteSigned
irm https://openclaw.ai/install.ps1 -OutFile install.ps1
.\install.ps1
如果想把数据目录装到指定位置，比如 D 盘，可以在执行脚本时带上安装目录参数。不同版本参数名可能略有差异，建议先执行 .\install.ps1 -Help 看一下：
powershell复制.\install.ps1 -InstallDir D:\OpenClaw
macOS 用户如果没有 Homebrew，也可以用同样的二进制安装方式。装完后在终端里执行 openclaw version，如果系统提示“command not found”，通常是 PATH 没有刷新，重新打开一个终端窗口或者手动加一下 PATH 就行。
3.4 使用 Docker Compose 部署（可选）
一键脚本装的是裸二进制，很适合只想快速跑起来的场景。但我个人更推荐用 Docker Compose 管理，因为升级、回滚、备份都更干净，也适合后续迁移到腾讯云容器服务。需要说明的是，Docker 方式和裸二进制方式不要在同一台机器上混用，否则端口和目录会冲突。
下面是我常用的最小编排文件，镜像名以你从镜像仓库实际拉到的为准：
yaml复制services:
openclaw:
image: openclaw/openclaw:latest
container_name: openclaw
restart: unless-stopped
ports:
- "3000:3000"
volumes:
- ./openclaw-data:/root/.openclaw
environment:
- OPENCLAW_WORKSPACE=/root/.openclaw/workspace
- OPENCLAW_MODEL_PROVIDER=openai
- OPENCLAW_MODEL=gpt-4o-mini
- OPENAI_API_KEY=${OPENAI_API_KEY}
保存为 docker-compose.yml 后，在同一个目录执行：
bash复制docker compose up -d
docker compose logs -f openclaw
数据卷 ./openclaw-data 会映射到容器内的 ~/.openclaw，所有配置和技能数据都沉淀在这个目录，备份时打包这一个目录就够了。
如果你的服务器在腾讯云内网，还可以把镜像推到腾讯云容器镜像服务 TCR，再从服务器内网拉取，速度更快也更稳定。命令大致是这样：
bash复制docker login ccr.ccs.tencentyun.com --username=<你的腾讯云账号ID> --password=<访问令牌>
docker tag openclaw/openclaw:latest ccr.ccs.tencentyun.com/<你的命名空间>/openclaw:latest
docker push ccr.ccs.tencentyun.com/<你的命名空间>/openclaw:latest
然后在腾讯云服务器上把镜像地址换成 TCR 地址即可。这样做的好处是，服务器和镜像仓库在同一地域内网，镜像拉取不走公网流量，对带宽敏感的场景非常友好。
3.5 配置 LLM 与消息渠道
OpenClaw 安装成功只是第一步，真正让它干活需要两端配置：模型端和消息渠道端。
模型配置可以直接改 ~/.openclaw/config.json，也可以等 Web 控制台跑起来后在界面里填。配置文件里最重要的几个字段如下：
json复制{
"model": {
"provider": "openai",
"name": "gpt-4o-mini",
"apiKey": "sk-xxxx",
"baseUrl": "https://api.openai.com/v1"
},
"channels": {
"web": {
"enabled": true
},
"cli": {
"enabled": true
}
}
}
如果你用的是国产模型、自建推理服务或自定义中转站，核心就是把 provider 设为 openai，把 baseUrl 换成中转站的 OpenAI 兼容地址。注意 baseUrl 一定要以 /v1 结尾，很多人在这一步卡住，填了根地址导致请求 404。
如果你希望在腾讯云上接入本地模型，比如 Ollama 或 NVIDIA NIM，配置思路一样。OpenClaw 与 Ollama 同机部署时，Ollama 的 11434 端口只监听内网即可，不要暴露到公网：
bash复制openclaw config set model.provider ollama
openclaw config set model.baseUrl http://127.0.0.1:11434
openclaw config set model.name qwen2.5:7b
NVIDIA NIM 一般也提供 OpenAI 兼容接口，假设 NIM 跑在另一台机器的 8000 端口，配置就是：
bash复制openclaw config set model.provider openai
openclaw config set model.baseUrl http://<NIM主机>:8000/v1
openclaw config set model.name meta/llama-3.1-8b-instruct
消息渠道建议先接飞书，因为个人微信或非官方接口有风控风险，飞书自定义机器人或者企业自建应用是最省心的。以飞书自建应用为例，拿到 App ID、App Secret、Encrypt Key 后，在配置文件的 channels.feishu 里填入即可。配置完后一定要执行一次重启：
bash复制openclaw restart
很多新手改了配置不重启，然后反复问“为什么没生效”，绝大多数都是漏了这一步。OpenClaw 的部分配置支持热加载，但模型地址、渠道密钥这类关键配置，老老实实重启一次最稳。
4. 部署后必须做的事
4.1 安全组不要全开
腾讯云服务器上线前必须检查安全组。网上搜“腾讯云如何开放所有端口”的人很多，但我在这里直接说结论：不要为了省事把 0.0.0.0/0 全放通，尤其是不要放通 Redis、MySQL、Docker 这类端口。被扫描工具盯上只是时间问题，一旦 Redis 没设密码被入侵，轻则挖矿，重则数据被删。
我建议安全组只放行以下几类端口：
| 端口 | 用途 | 建议开放范围 |
|---|---|---|
| 22 | SSH 登录 | 只放行你的固定出口 IP，或重要跳板机 IP |
| 3000 | OpenClaw Web 控制台 | 如果用了 Caddy HTTPS，可以只放 443，让 3000 仅监听 127.0.0.1 |
| 443 | HTTPS 反向代理 | 全网可访问 |
| 11434、8000 | Ollama / NIM 等模型服务 | 禁止外网开放，只允许内网或本机 |
如果只是临时调试需要放行某个端口，也要在调试完成之后立即删除规则。生产环境建议用腾讯云安全组 + 服务器内部防火墙双层控制，不用追求“全端口开放”，那只会让运维变成灾难。
4.2 配置 exec-approvals 授权机制
OpenClaw 因为要执行本地命令，自带一套命令授权机制。升级到新版本后，你可能会在日志里看到这样一条提示：
code复制Legacy exec approvals exist at /root/.openclaw/exec-approvals.json. Run `openclaw migrate-approvals`
看到这条提示不要慌，也不要手贱去删 exec-approvals.json。它的意思是，旧版本把允许执行的命令记录存在一个 JSON 文件里，新版本要迁移到新的授权库，你只需要执行：
bash复制openclaw migrate-approvals
迁移完成后再查一下当前授权列表：
bash复制openclaw approvals list
如果某个技能需要执行新的命令，比如想让它能用 curl 或 ps，你就显式添加授权：
bash复制openclaw approvals add "ps"
openclaw approvals add "curl"
我的建议是授权粒度尽量小，不要把 * 或 sudo 这种高风险项直接放给 AI。OpenClaw 的价值在于帮你干活，但如果它的权限过大，一旦提示词注入或技能漏洞被利用，后果不是闹着玩的。你可以把它想象成一个实习生，能办事，但要上权限管控。
4.3 更新与频道选择
OpenClaw 更新频率不算低，官方提供了两个版本频道：
- stable：稳定版，适合生产或个人长期使用；
- dev：开发版，能提前用上最新功能，但可能会有兼容性问题。
更新命令是：
bash复制openclaw update --channel stable
如果你在稳定的生产环境上用，建议锁死 stable。如果你喜欢追新、愿意踩坑，可以切到 dev：
bash复制openclaw update --channel dev
更新之前最好先备份 ~/.openclaw 整个目录：
bash复制tar czf openclaw-backup-$(date +%Y%m%d).tar.gz ~/.openclaw
这个备份目录包含你的配置、技能、授权记录和工作区文件。出问题的时候，解压回去就能恢复，比重新配置半天省太多时间。
4.4 systemd 服务管理与开机自启
一键脚本装完一般会自动注册 systemd 服务。你可以用下面的命令检查和管理：
bash复制sudo systemctl status openclaw
sudo systemctl enable openclaw
sudo systemctl restart openclaw
journalctl -u openclaw -f -n 200
journalctl 是排查问题最重要的工具，比看屏幕输出可靠得多。如果系统提示没有找到 openclaw 服务，说明脚本没注册成功，你可以用 Docker 的 restart: unless-stopped 来保证容器开机自启，或者使用 tmux、screen 临时托管。长期运行我还是推荐 systemd 或 Docker，因为它们能处理崩溃自动拉起，不会再出现“机器重启了一下，AI 助理就变成僵尸状态”的尴尬。
5. 常见问题与排查实录
5.1 Windows 下提示“无法将 openclaw 项识别为 cmdlet、函数、脚本文件或可运行程序的名称”
这个问题在热词里反复出现，基本上是两种原因：一是安装目录没有被写入 PATH，二是安装后没有重新打开终端。
解决方法很简单，在 PowerShell 里手动补一下 PATH：
powershell复制$env:Path += ";$env:USERPROFILE\.openclaw\bin"
openclaw version
如果这样执行能成功，说明只是 PATH 没有刷新。想让以后每个新终端都能直接用，需要把 openclaw 的 bin 目录永久加进用户环境变量，或者在系统设置里搜索“编辑账户的环境变量”，把 %USERPROFILE%\.openclaw\bin 加到 Path 里。
如果手动补了 PATH 还是无法识别，去看看安装目录下到底有没有 openclaw.exe。有些安装脚本会因为执行策略被中断，只生成了部分文件，这种情况下重新执行一次安装脚本即可。
5.2 OpenClaw 一直卡在“网关启动中”
Web 控制台一直显示“网关启动中”，本质上是前端连不上后端进程。先看进程是否存在：
bash复制ps aux | grep -i openclaw
Windows 下用：
powershell复制Get-Process | Where-Object { $_.ProcessName -like "*openclaw*" }
如果进程存在但页面还是卡住，大概率是端口被占用或者运行时元数据异常。可以看 ~/.openclaw/runtime.json，里面记录了 PID、监听端口和版本信息。如果 PID 对不上当前进程，说明运行时元数据是旧的，先停掉服务，备份这个文件，再删掉或让它重建：
bash复制openclaw stop
cp ~/.openclaw/runtime.json ~/.openclaw/runtime.json.bak
openclaw start
另一个高频原因是 3000 端口被别的程序占用，比如之前装过 Nginx 或者其他 Web 服务。用下面的命令看端口状态：
bash复制sudo lsof -i:3000
把占用进程处理掉，再重启 OpenClaw，通常就能恢复正常。
5.3 服务器上 Redis 改密码后重启失败
有用户在腾讯云服务器上装了 Redis，改了密码之后重启一直失败，这个情况和 OpenClaw 本身无关，但确实很容易同时出现在一台机器上。最常见的原因有三个：
- Redis 配置文件里的
requirepass和 systemd 启动参数里的密码不一致； - 密码里包含
$、!、&等特殊字符，没有正确转义； - Redis 进程残留，端口 6379 被旧进程占用，导致新进程起不来。
排查时先看服务状态和日志：
bash复制sudo systemctl status redis-server
sudo journalctl -u redis-server -n 50 --no-pager
然后用客户端测试密码是否生效：
bash复制redis-cli -a '你的新密码' ping
如果返回 PONG，说明密码本身没问题；如果返回 NOAUTH，说明需要认证但认证失败。注意命令行里 -a 后面的密码尽量用单引号包起来，避免特殊字符被 shell 解释。如果日志显示端口被占用，先停掉旧进程再启动：
bash复制sudo systemctl stop redis-server
sudo lsof -i:6379
sudo systemctl start redis-server
我的习惯是 Redis 这类存储中间件不要直接装在宿主机上，用 Docker 容器管理会简单不少，数据目录挂载出来，配置文件放在单独目录，改密码时直接编辑挂载的配置文件再 docker restart redis，可预期性比 systemd 方式强很多。
5.4 修改模型服务后没有生效
如果你把模型从 Cloud API 换成本地 Ollama，或者换了一个自定义中转站，但聊天时还是调旧的模型，先不要怀疑 OpenClaw 有问题，按照下面的顺序排查：
- 确认配置已经写入：打开
config.json看model段是不是你想要的内容； - 确认服务已重启：执行
openclaw restart； - 确认模型地址能连通：
bash复制curl http://127.0.0.1:11434/v1/models
curl http://<NIM主机>:8000/v1/models
curl http://<中转地址>/v1/models
如果 curl 返回 401 或 404，说明地址、鉴权或 /v1 路径不对。就像打电话要先确认号码有没有拨错，模型接口不通，OpenClaw 再怎么配也是白搭。
5.5 腾讯云注册与域名解析的常见小问题
最后说两个和 OpenClaw 没关系，但很影响体验的问题。
如果你在腾讯云注册或登录时提示“您所处的网络环境异常，无法进行注册”，通常不是账号出了问题，而是浏览器插件、缓存或当前网络出口被风控拦截了。换个浏览器、清理 Cookie、关闭浏览器插件，或者切到手机热点再试一次，大概率能解决。
如果你在 DNSPod 添加了二级域名解析，但一直 ping 不通，先用下面的命令确认解析状态：
bash复制dig openclaw.example.com +short
nslookup openclaw.example.com
如果解析结果是你服务器的 IP，但页面还是打不开，再检查安全组有没有放行 443 或 3000 端口。很多时候不是 DNS 没生效，而是端口根本没到服务器上，数据还在云防火墙外面就被拦住了。
我在实际部署这套环境时，踩坑最多的地方反而不是 OpenClaw 本身，而是安全组、Redis、端口占用这三件事。把这三个基础问题处理好，OpenClaw 的部署其实非常顺。一个建议是部署完成后第一时间做一个 ~/.openclaw 目录的压缩备份，再导出一次配置文件截图，这样后续升级、迁移、恢复都有底。最后再分享一个小习惯：不要一上来就接一堆消息渠道，先用 CLI 或 Web 控制台把模型链路跑通，再逐步接入飞书、Discord 等渠道，这样每个环节出问题时都能很快定位到具体位置，不会把模型问题、授权问题和渠道问题混在一起。