1. OpenClaw 龙虾智能体双端落地网关离线与安全拦截到底卡在哪OpenClaw 龙虾智能体是一款本地运行的 AI 自动化工具能通过模拟键鼠、读写本地文件、管控浏览器进程来完成桌面级任务适合想把重复操作交给 AI 的 Windows 与 Mac 用户。它最大的特点是本地执行、不依赖云端账号但正因为要调用系统底层能力部署时最容易撞上两堵墙一是 Gateway 一直显示离线二是安全软件把安装包或主程序当风险文件拦截。这两个问题在 Windows 11 和 macOS 上表现不一样排查路径也不同。我先把结论摆出来网关离线九成不是软件坏了而是本地回环端口没通、安装路径含中文、或者安全软件把 Gateway 进程的通信掐断了安全拦截则多半是实时防护在解压或首次启动时误删了依赖组件。这两类故障经常同时出现因为安全软件拦截会导致组件缺失组件缺失又会让 Gateway 起不来形成连锁反应。这篇手册按“先通网关、再放行安全软件、最后统一走 TaoToken 通道”的顺序来写每一步都给可复制的命令和配置。你不需要懂 Python 或 Node只要照着敲命令、改配置文件就行。下面先从最影响体验的网关连通性讲起因为 Gateway 不通后面所有 AI 指令都发不出去。需要提前说明的是OpenClaw 的 Gateway 本质是一个本地 HTTP 服务默认监听 127.0.0.1 上的某个端口主程序通过这个端口和 AI 推理服务通信。所谓“网关离线”就是主程序连不上这个本地服务或者本地服务连不上你配置的模型 endpoint。把这两段链路分开测问题就清晰了。2. TaoToken 统一 Key 前置准备endpoint 与 auth.json 怎么改在动手修网关之前先把模型通道统一到 TaoToken这样后面排查时变量更少。TaoToken 提供统一的 API 通道你只需要一个 Key 就能在 OpenClaw、Cline、Claude Code 等多个工具里复用不用每个工具单独申请。官网入口是 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content API 基址是 https://taotoken.net/api 。第一步是拿 Key。打开 https://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_contentapi_keysutm_campaignrewrite 登录后创建一个新 Key复制下来。这个 Key 只显示一次建议先粘到记事本里备用。注意不要把它提交到 Git 仓库也不要贴在公开聊天里。第二步是确认模型 ID。OpenClaw 的配置里需要填 Model ID常见的有 claude-sonnet-4-5、gpt-4o 这类。你可以在 https://taotoken.net/models?utm_sourcetaotoken_aicg_blog_endutm_contentmodelsutm_campaignrewrite 查看当前可用的模型列表选一个你套餐里包含的。Model ID 写错会直接导致请求返回 404 或 model not found。第三步是改 auth.json。OpenClaw 的认证信息通常放在用户目录下的配置文件夹里Windows 一般在C:\Users\你的用户名\.openclaw\auth.jsonMac 在~/.openclaw/auth.json。如果文件不存在就手动创建。内容格式如下{ base_url: https://taotoken.net/api, api_key: sk-你从TaoToken复制的Key, model: claude-sonnet-4-5 }这里三个字段缺一不可base_url 指向 TaoToken 的 API 基址api_key 是你的统一 Keymodel 是模型 ID。改完保存编码用 UTF-8不要带 BOM。Windows 上用记事本另存为时注意选 UTF-8否则可能出现乱码导致解析失败。第四步是改 endpoint。有些版本的 OpenClaw 把 endpoint 写在config.toml或settings.json里路径同样是.openclaw目录。如果是 TOML 格式长这样[gateway] host 127.0.0.1 port 8765 [model] endpoint https://taotoken.net/api api_key sk-你从TaoToken复制的Key model_id claude-sonnet-4-5注意 endpoint 结尾不要多加/v1TaoToken 的基址已经包含了版本路径规则多写反而会 404。如果你之前用的是别的中转地址把整段替换掉不要保留旧字段避免程序读到两个 endpoint 冲突。改完配置后先别急着启动下一步要确认本地网关端口是通的。这里有个细节auth.json 和 config.toml 如果同时存在且都写了 api_key程序可能优先读其中一个建议只保留一处另一处删掉或留空减少排查时的干扰。3. 可复制配置网关连通性检测与安全软件放行规则这一节给两段可直接复制的操作一段测网关端口一段配安全软件放行。先测端口再放行顺序别反否则放行了但端口本来就不通等于白忙。Windows 端打开 PowerShell先看 Gateway 进程有没有在监听netstat -ano | findstr :8765如果返回一行TCP 127.0.0.1:8765 0.0.0.0:0 LISTENING说明本地服务起来了端口号以你 config.toml 里写的为准。如果什么都没返回说明 Gateway 没启动先去看主程序日志。接着测本地回环能不能通Test-NetConnection -ComputerName 127.0.0.1 -Port 8765返回TcpTestSucceeded : True就是通的。再测到 TaoToken 的连通性curl.exe -X POST https://taotoken.net/api/v1/chat/completions -H Authorization: Bearer sk-你的Key -H Content-Type: application/json -d {\model\:\claude-sonnet-4-5\,\messages\:[{\role\:\user\,\content\:\ping\}]}Mac 端用终端命令基本一致lsof -iTCP:8765 -sTCP:LISTEN nc -zv 127.0.0.1 8765 curl -X POST https://taotoken.net/api/v1/chat/completions -H Authorization: Bearer sk-你的Key -H Content-Type: application/json -d {model:claude-sonnet-4-5,messages:[{role:user,content:ping}]}nc返回succeeded说明本地端口通。curl 返回一段 JSON 且包含choices字段说明 TaoToken 通道正常。如果 curl 报Could not resolve host是 DNS 问题报 401是 Key 错了报reading choices相关错误多半是返回体不是预期 JSON检查 endpoint 是否多写了路径。安全软件放行规则分平台。Windows 上Defender 的放行用 PowerShell 加排除目录Add-MpPreference -ExclusionPath D:\OpenClaw Add-MpPreference -ExclusionProcess Openclaw Windows一键启动.exe360、火绒、腾讯电脑管家这类进各自的“信任区”或“白名单”把 OpenClaw 安装目录整个加进去再把主程序 exe 单独加一条进程信任。注意是加目录加进程两条只加目录有时进程级拦截还是会触发。Mac 上进“系统设置 → 隐私与安全性”在“完全磁盘访问权限”里把 OpenClaw 主程序加进去否则它读写本地文件会被拦。如果首次启动提示“无法验证开发者”在“安全性”里点“仍要打开”。Gatekeeper 的放行命令是sudo spctl --add --label OpenClaw /Applications/OpenClaw.app sudo xattr -dr com.apple.quarantine /Applications/OpenClaw.app第二条去掉隔离属性能解决大部分“已损坏无法打开”的提示。执行完再启动Gateway 在线状态通常就稳了。4. 验证请求与成功结果双端各跑一遍确认配置改完、放行做完接下来要验证整条链路。验证分三层本地 Gateway 在不在、TaoToken 通道通不通、OpenClaw 主程序能不能真正下发指令并拿到结果。三层都过才算落地成功。Windows 端验证动作先启动 OpenClaw 主程序看右上角状态。如果显示“Gateway 在线”第一层过。然后在指令框输入“帮我列出 D 盘下载文件夹里的图片文件”回车。预期结果是它调用本地文件系统返回一个文件列表而不是报“网关离线”或“请求超时”。如果返回列表说明主程序→Gateway→TaoToken→模型→回传这条链路全通。Mac 端验证动作类似启动后在指令框输入“扫描桌面文件并按类型分类”。预期结果是它读取桌面目录并给出分类建议。Mac 上第一次运行可能弹权限申请允许“文件和文件夹”访问否则会返回空列表或权限错误。再补一个纯 API 层的验证确认 TaoToken 返回结构正常curl -s -X POST https://taotoken.net/api/v1/chat/completions \ -H Authorization: Bearer sk-你的Key \ -H Content-Type: application/json \ -d {model:claude-sonnet-4-5,messages:[{role:user,content:回复OK两个字}]} | head -c 300预期返回里能看到content:OK或类似结构。如果返回{error:...}按错误码处理401 换 Key404 换 Model ID429 是额度或频率限制稍后重试。成功结果的判断标准我总结成三条状态栏显示在线、指令能返回实际执行结果而非报错、curl 能拿到含 choices 的 JSON。三条都满足说明网关离线和安全拦截这两个坑都填上了。如果只满足前两条但 curl 失败说明主程序可能走了缓存或别的通道建议重启主程序再测。这里提醒一句验证时不要同时开多个 OpenClaw 实例端口会冲突第二个实例的 Gateway 必然离线。关掉多余的窗口再测。5. 本篇常见错排查401、local proxy failed、reading choices、OAuth这一节把双端最容易撞的报错逐个拆开。每个报错我都给触发原因和修复动作你对照自己的日志找。401 Unauthorized。原因基本是 Key 错了、Key 过期、或者 auth.json 里 api_key 字段名写错。修复重新去 https://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_contentapi_keysutm_campaignrewrite 复制 Key确认 auth.json 里字段名是api_key而不是apikey或token。Windows 上还要确认没有多余空格JSON 对空格敏感。local proxy failed。这个报错说明 OpenClaw 尝试走本地代理但连不上。原因通常是 config.toml 里还留着旧的 proxy 配置或者系统环境变量里设了 HTTP_PROXY。修复清掉 config.toml 里的 proxy 字段检查环境变量echo $env:HTTP_PROXY echo $env:HTTPS_PROXY有值就清掉然后重启主程序。Mac 上用echo $HTTP_PROXY同样检查。reading choices 相关错误。完整报错常是error reading choices field或cannot unmarshal choices。这说明程序期望返回 JSON 里有 choices 数组但实际拿到的不是。原因多半是 endpoint 写错比如写成了https://taotoken.net/api/v1而程序又自动拼了一次/v1/chat/completions变成双 v1。修复endpoint 只写到https://taotoken.net/api让程序自己拼路径。OAuth 相关报错。如果日志里出现 OAuth token 或 refresh token 失败说明程序在尝试走账号授权流程但你用的是 Key 模式。修复在配置里关掉 OAuth 开关或者删掉 auth.json 里残留的 oauth 字段只保留 base_url、api_key、model 三项。有些版本需要在设置界面手动选“API Key 模式”而不是“账号登录”。还有一个高频坑安全软件把 Gateway 进程当异常行为拦截日志里看不到明显报错但状态栏就是离线。修复把 OpenClaw 整个安装目录和主程序进程都加进白名单然后重启。Windows 上如果用了 360它的“核晶防护”会拦键鼠模拟需要在“防护中心”里单独关掉对 OpenClaw 的拦截。最后提醒改完任何配置都要重启主程序热重载不一定生效。重启后先看状态栏再看日志顺序别乱。6. 长期编码与 Agent 场景把 TaoToken 通道用顺网关通了、安全软件放行了OpenClaw 就能稳定跑起来。如果你打算长期用它做编码辅助或 Agent 自动化建议把 TaoToken 的 Coding Plan 用起来入口在 https://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_contentcoding_planutm_campaignrewrite 。它适合需要持续调用模型、跑长任务的场景比按次调用更省心。日常使用中我建议把 auth.json 和 config.toml 备份一份换机器或重装时直接覆盖省得重新配。Key 如果泄露了去控制台吊销重建别将就着用。OpenClaw 的指令尽量写具体比如“把 D 盘下载文件夹里所有 jpg 按日期重命名”比“整理文件”更容易拿到预期结果。模型对话调试可以在 https://taotoken.net/chat?utm_sourcetaotoken_aicg_blog_endutm_contentchatutm_campaignrewrite 里先试确认模型 ID 和返回正常再填进 OpenClaw 配置能少走弯路。接入文档在 https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_contentdocutm_campaignrewrite 遇到字段不确定时翻一下。Claude Code 用户如果也想统一走 TaoToken参考 https://taotoken.net/claude-code-anthropic?utm_sourcetaotoken_aicg_blog_endutm_contentclaude_codeutm_campaignrewrite 配置逻辑和 OpenClaw 一致Base URL 填 https://taotoken.net/api Key 填统一 KeyModel ID 填你选的模型。三件套对齐双端切换就不容易出错。最后说个实操细节Windows 上如果 OpenClaw 装在 D 盘但用户目录在 C 盘auth.json 默认还是在 C 盘用户目录下别去 D 盘找。Mac 上同理配置在~/.openclaw不在应用程序目录里。路径找对了改配置就是几分钟的事。
