🔒 OpenClaw Gateway 安全加固与路由配置指南

📅 更新时间：2026年6月1日 | ⏱️ 阅读时长：约12分钟 | 🏷️ 标签：Gateway安全, 路由配置, OpenClaw运维

凌晨5点33分，我检查完最后一条安全规则，长舒一口气——把AI Gateway暴露在外网，就像把家门钥匙挂在门框上。安全不是可选项，是底线。

1. Gateway安全基础设置

1.1 DM配对策略（最重要的一步）

# config.yaml - DM配对策略配置
channels:
  telegram:
    dmPolicy: pairing  # 未知用户需要配对
  discord:
    dmPolicy: pairing
  whatsapp:
    dmPolicy: pairing

# 审批配对请求
openclaw pairing approve <user-id>

⚠️ 核心安全规则： 始终启用 dmPolicy: pairing，除非你在完全信任的内网环境。否则任何人只要找到你的Telegram/WhatsApp就能操控你的AI助手。

1.2 绑定监听地址

# config.yaml
gateway:
  # 不要监听0.0.0.0（除非需要外网访问）
  host: 127.0.0.1
  port: 18789
  
  # 如果需要外网访问，使用Nginx反向代理+HTTPS
  # 并配置防火墙白名单

1.3 API Key认证

# config.yaml
gateway:
  apiKeys:
    - key: "sk-xxxxxxxxxxxxxxxx"
      name: "admin-key"
      permissions:
        - admin
    - key: "sk-yyyyyyyyyyyyyyyy"
      name: "readonly-key"
      permissions:
        - message:send
        - message:read

2. 高级安全策略

2.1 速率限制（Rate Limiting）

# config.yaml
gateway:
  rateLimit:
    enabled: true
    window: 60000     # 时间窗口（毫秒）
    maxRequests: 60   # 窗口内最大请求数
    perUser: true     # 按用户限制

  # 对话频率控制
  conversation:
    maxPerMinute: 30        # 每分钟最大消息数
    maxPerUserPerHour: 200  # 每小时每用户上限

2.2 内容安全过滤

# config.yaml
security:
  contentFilter:
    enabled: true
    blockedPatterns:
      - "rm -rf /"
      - "DROP TABLE"
      - "eval\\("
    blockedExecutables:
      - "sudo"
      - "su"
      - "passwd"

  # 命令执行白名单
  exec:
    allowedCommands:
      - git
      - npm
      - node
      - python3
      - docker

3. 路由配置（Routing）

3.1 频道路由

# 将不同频道的消息路由到不同处理逻辑
routing:
  channels:
    telegram:
      handler: support  # 将Telegram消息路由到"客服"handler
    discord:
      handler: community  # Discrod路由到"社区"handler
    slack:
      handler: internal  # Slack路由到"内部"handler

  handlers:
    support:
      model: gpt-4o
      temperature: 0.3  # 较低温度，更稳定的回复
      skills:
        - ticket-system
        - knowledge-base
    
    community:
      model: claude-3.5-sonnet
      temperature: 0.8  # 较高温度，更有创意
      skills:
        - discord-community
        - content-moderation
    
    internal:
      model: gpt-4o-mini
      temperature: 0.5
      skills:
        - jira-integration
        - confluence-search

3.2 模型路由与故障转移

# config.yaml - 模型多路故障转移
models:
  primary:
    provider: openai
    model: gpt-4o
    max_tokens: 4096
    
  fallback:
    - provider: anthropic
      model: claude-3.5-sonnet
      timeout: 30000
    
    - provider: openai
      model: gpt-4o-mini
      timeout: 30000

  # 基于内容类型的路由
  routing:
    - match:
        content_type: code
      model:
        provider: anthropic
        model: claude-3.7-sonnet
    
    - match:
        content_type: creative
      model:
        provider: openai
        model: gpt-4o
        temperature: 0.9
    
    - match:
        content_type: analysis
      model:
        provider: openai
        model: o3-mini

4. 实战配置模板

4.1 安全加固模板（适合外网暴露）

# secure-gateway.yaml
gateway:
  host: 127.0.0.1
  port: 18789
  
  apiKeys:
    - key: "${ADMIN_API_KEY}"
      permissions: [admin]
  
  rateLimit:
    enabled: true
    window: 60000
    maxRequests: 30

security:
  pairing: true
  contentFilter:
    enabled: true
  
  exec:
    sandbox: true
    timeout: 30000
    allowedCommands:
      - ls
      - cat
      - grep
      - find

4.2 使用Nginx反向代理（推荐）

# /etc/nginx/sites-enabled/openclaw-gateway
server {
    listen 443 ssl;
    server_name gateway.yourdomain.com;
    
    ssl_certificate /etc/ssl/certs/yourdomain.crt;
    ssl_certificate_key /etc/ssl/private/yourdomain.key;
    
    # IP白名单（可选）
    allow 192.168.1.0/24;
    deny all;
    
    location / {
        proxy_pass http://127.0.0.1:18789;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        
        # WebSocket支持
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
    }
}

5. 监控与审计

5.1 访问日志

# config.yaml
logging:
  level: info
  audit:
    enabled: true
    logAllRequests: true
    logAllCommands: true
    retention: 90d  # 保留90天日志

  metrics:
    prometheus:
      enabled: true
      path: /metrics