企业官网建设流程全解析

1. openclaw 授权远程访问踩坑：从 localhost 到局域网 IP 的完整配置路径

openclaw 是一个把本地工具链、模型调用和自动化任务统一到一个控制台的开源项目，默认只监听本机回环地址，所以你在服务器上跑起来之后，用另一台电脑的浏览器打开http://192.168.1.24:18789往往会直接吃一个跨域拦截。这个现象的本质不是 openclaw 坏了，而是它的gateway.controlUi.allowedOrigins白名单里只有localhost和127.0.0.1，浏览器同源策略把来自局域网 IP 的请求挡在了门外。适合谁看：手里有一台常开的开发机或小主机、想让团队里其他人也能打开 openclaw 控制台、或者准备把 openclaw 的模型调用 endpoint 从本地切到统一 API 通道的人。

我试过最直接的修法就是改白名单，但改完白名单只是解决了「能打开页面」，真正让远程调用链路稳定跑起来，还得把 openclaw 内部请求模型的 endpoint 一起换掉。因为默认配置下 openclaw 会去连本机的推理服务，远程访问时那台机器上根本没有对应端口，页面能开、任务一跑就报连接失败。所以这篇按两条线走：先让控制台能被远程打开，再把 endpoint 和鉴权切到统一通道，最后用一次真实远程调用确认整条授权链路生效。

需要提前说清楚一个边界：openclaw 的远程访问是「局域网内可信网络」的用法，不要把它直接暴露到公网。如果你确实需要跨网络访问，正确做法是走统一 API 网关做鉴权，而不是把控制台端口开放出去。下面所有配置都基于这个前提。

2. TaoToken 前置准备：统一 Key 与 endpoint 的获取方式

在动 openclaw 配置之前，先把外部通道准备好。TaoToken 在这里扮演的角色是「统一的模型调用入口」：你不需要在每台机器上分别配不同厂商的 Key，而是拿一个统一 Key，把 openclaw 的模型 endpoint 指过去，鉴权和路由都由这一层处理。官网入口是 https://taotoken.net/?utm_source=taotoken_aicg_blog_end&utm_medium=csdn&utm_campaign=rewrite&utm_content= ，API 基址是 https://taotoken.net/api 。

第一步，打开控制台创建 API Key。地址是 https://taotoken.net/console?utm_source=taotoken_aicg_blog_end&utm_content=console&utm_campaign=rewrite ，登录后在 API Keys 页面新建一个 Key，复制出来先存到安全的地方。这个 Key 后面会写进 openclaw 的配置里，所以不要贴在聊天记录或公开仓库。

第二步，确认你要用的模型 ID。不同任务适合的模型不一样，openclaw 里做代码补全、做长文本总结、做工具调用，选的模型可能不同。你可以在模型对话页面先试一下目标模型能不能正常返回，地址是 https://taotoken.net/models?utm_source=taotoken_aicg_blog_end&utm_content=models&utm_campaign=rewrite 。试的时候重点看两件事：返回是否正常、延迟是否可接受。确认没问题再写进 openclaw，避免配完了才发现模型名写错。

第三步，如果你打算长期跑编码类 Agent 任务，可以看一下 Coding Plan 的说明，地址是 https://taotoken.net/coding-plan?utm_source=taotoken_aicg_blog_end&utm_content=coding-plan&utm_campaign=rewrite 。它的意义在于把高频调用场景的额度单独规划，避免和临时测试混在一起。接入文档在 https://taotoken.net/doc?utm_source=taotoken_aicg_blog_end&utm_content=doc&utm_campaign=rewrite ，配置字段的准确名称以文档为准，下面给的片段是常见写法。

这里有个容易忽略的点：openclaw 的配置分两层，一层是控制台网关的gateway配置，管的是「谁能打开页面」；另一层是模型调用的 provider 配置，管的是「页面里的任务去哪调模型」。很多人只改了第一层，结果远程能打开、任务全失败，就是漏了第二层。下面两节分别处理。

3. 可复制配置：openclaw.json 与 allowedOrigins 完整片段

先解决控制台访问。openclaw 的配置文件通常在数据目录下，容器部署时常见路径是/home/openclaw/data/openclaw.json。改之前先停容器，避免写入被覆盖：

docker stop openclaw vim /home/openclaw/data/openclaw.json

找到gateway段，把bind改成lan，并把你的局域网 IP 加进allowedOrigins。下面是一份可直接对照的 JSON 片段，注意把192.168.1.24换成你自己的机器 IP：

{ "gateway": { "bind": "lan", "port": 18789, "controlUi": { "allowedOrigins": [ "http://localhost:18789", "http://127.0.0.1:18789", "http://192.168.1.24:18789" ] } } }

如果你不想手改文件，也可以用命令行方式写入，效果一样：

docker exec openclaw sh -c "openclaw config set gateway.controlUi.allowedOrigins '[\"http://localhost:18789\",\"http://127.0.0.1:18789\",\"http://192.168.1.24:18789\"]'" docker restart openclaw

改完控制台白名单，接着配模型 endpoint。这一段是让 openclaw 的模型请求走统一通道，字段名以接入文档为准，常见结构如下：

{ "providers": { "default": { "baseUrl": "https://taotoken.net/api", "apiKey": "sk-你的统一Key", "model": "你的模型ID" } } }

三件套对应关系要记牢：Base URL 填https://taotoken.net/api，Key 填控制台新建的那串，Model ID 填你在模型对话里验证过的那个。三者缺一，远程任务就会在鉴权或路由阶段失败。改完同样重启容器：

docker restart openclaw

如果你用的是 Cline MCP 或 Codex 这类外部客户端去连 openclaw，配置思路一致，也是 Base URL、Key、Model ID 三件套，只是字段名可能叫base_url、api_key、model。以对应客户端的文档为准，不要凭记忆写。

4. 验证远程调用：一次请求确认授权链路生效

配置写完必须验证，否则你只是「以为配好了」。验证分两步，先确认控制台能远程打开，再确认模型调用真的走通了。

第一步，在另一台同局域网的机器上打开浏览器，访问http://192.168.1.24:18789。如果页面正常加载、控制台没有跨域报错，说明allowedOrigins生效了。如果还是被拦，回到上一节检查 IP 是否写对、容器是否真的重启了。

第二步，用命令行直接打一次模型接口，确认 Key 和 endpoint 可用。这一步绕开 openclaw 界面，单独验证通道：

curl -s https://taotoken.net/api/v1/chat/completions \ -H "Authorization: Bearer sk-你的统一Key" \ -H "Content-Type: application/json" \ -d '{ "model": "你的模型ID", "messages": [{"role": "user", "content": "只回复 ok"}] }'

正常返回里会有choices字段，内容包含模型回复。如果返回 401，说明 Key 不对或没带上；如果返回模型不存在，说明 Model ID 写错；如果连接超时，检查网络和 Base URL 是否写成了带路径的完整地址。

第三步，回到 openclaw 控制台，手动触发一个最小任务，比如让它总结一段短文本。任务能跑完并返回结果，说明「控制台远程访问 + 模型 endpoint 切换」两条链路都通了。到这一步，openclaw 授权远程访问的完整路径才算闭环。

5. 本篇常见错排查：401、local proxy failed 与 reading choices

远程访问 openclaw 时，报错基本集中在几个固定位置，对照着查比盲试快得多。

401 Unauthorized：最常见。要么 Key 没填、要么填了但带了多余空格、要么 Key 已失效。检查openclaw.json里apiKey字段，确认是sk-开头且没有换行。用上一节的 curl 单独测一次，能过说明 Key 没问题，问题在 openclaw 读取配置的路径上。

local proxy failed / connection refused：说明 openclaw 还在尝试连本机推理服务，endpoint 没切过去。检查providers.default.baseUrl是否真的改成了https://taotoken.net/api，以及改完有没有重启容器。配置文件改了但没重启，是最常见的假修复。

reading 'choices' of undefined：这个报错说明请求发出去了，但返回体结构不对，代码去读choices时拿到 undefined。通常是 Base URL 写成了https://taotoken.net而漏了/api，或者模型 ID 不存在导致返回了错误结构。把 Base URL 补全、Model ID 核对一遍即可。

OAuth / 鉴权跳转异常：如果你在客户端里配了 OAuth 流程又同时填了静态 Key，两者会打架。统一通道场景下用静态 Key 就够了，把 OAuth 相关字段清掉，避免鉴权方式冲突。

页面能开但任务全挂：这是典型的「只改了 allowedOrigins，没改 provider」。回到第 3 节，把模型 endpoint 那段补上。判断方法很简单：curl 直连能通、openclaw 里跑不通，就是 provider 配置的问题。

排查顺序建议固定成：先 curl 验 Key 和 endpoint，再查 openclaw 配置文件字段，最后看容器是否重启。按这个顺序走，绝大多数报错五分钟内能定位。

6. 长期使用建议与接入入口

把 endpoint 切到统一通道之后，openclaw 的远程访问会稳定很多，因为不再依赖某台机器上的本地推理服务。日常使用有几个习惯值得养成：Key 定期轮换，不要多个项目共用同一个；模型 ID 变更时同步更新 openclaw 配置，避免任务静默失败；远程访问只在可信局域网内开，跨网络需求走统一网关鉴权。

如果你还在选模型阶段，可以先去模型对话页面把候选模型都试一遍，地址是 https://taotoken.net/models?utm_source=taotoken_aicg_blog_end&utm_content=models&utm_campaign=rewrite 。确定长期跑编码或 Agent 任务后，再看 Coding Plan 的额度规划，地址是 https://taotoken.net/coding-plan?utm_source=taotoken_aicg_blog_end&utm_content=coding-plan&utm_campaign=rewrite 。Key 管理在控制台，地址是 https://taotoken.net/console?utm_source=taotoken_aicg_blog_end&utm_content=console&utm_campaign=rewrite ，接入字段的准确写法以文档为准：https://taotoken.net/doc?utm_source=taotoken_aicg_blog_end&utm_content=doc&utm_campaign=rewrite 。API 基址固定用 https://taotoken.net/api ，不要加多余路径。

最后提醒一句：openclaw 的远程访问配置改完后，记得把openclaw.json备份一份。下次升级容器或迁移机器时，直接对照恢复，比重新排查一遍省事得多。