OpenClaw 管理 API Key / Token 的常见安全方案

OpenClaw Token / API Key 管理方案（macOS）

本文整理在 macOS 系统 下，为

OpenClaw 管理 API Key / Token / Secrets 的常见安全方案。

适用于：

• OpenClaw
• Qwen / DashScope API
• OpenRouter API
• Telegram Bot Token
• Gateway Token

目标：

• 避免 API Key 明文泄露
• 避免提交到 Git
• 避免插件读取敏感信息

---

一、.env 文件管理（最常见）

最简单的方式是使用 .env 文件统一管理环境变量。

创建 .env

nano ~/.openclaw/.env

示例：

DASHSCOPE_API_KEY=sk-xxxx
OPENROUTER_API_KEY=sk-xxxx
OPENCLAW_GATEWAY_TOKEN=xxxxx

启动 OpenClaw：

source ~/.openclaw/.env
openclaw

优点

• 简单
• 易于维护
• 多项目共享

缺点

• 文件是明文
• 需要注意 .gitignore

适合：

个人开发

---

二、macOS Keychain

macOS 自带 Keychain（钥匙串） 可以安全加密存储 API Key。

存储 Key

security add-generic-password \
-s DASHSCOPE_API_KEY \
-a "$USER" \
-w "sk-xxxx"

读取 Key

security find-generic-password -s DASHSCOPE_API_KEY -w

启动 OpenClaw

export DASHSCOPE_API_KEY=$(security find-generic-password -s DASHSCOPE_API_KEY -w)
openclaw

优点

• 系统加密存储
• 不落盘明文
• Apple 官方安全机制

缺点

• CLI 需要脚本读取

适合：

mac 本地开发（推荐）

---

三、Shell 环境变量

直接写入 shell 配置文件。

编辑 zsh 配置

nano ~/.zshrc

加入：

export DASHSCOPE_API_KEY="sk-xxxx"
export OPENROUTER_API_KEY="sk-xxxx"
export OPENCLAW_GATEWAY_TOKEN="xxxx"

生效：

source ~/.zshrc

优点

• CLI 都能读取
• 简单

缺点

• 明文存在配置文件

适合：

开发环境

---

四、OpenClaw 内置 Secrets

OpenClaw UI 提供 Secret 管理。

进入：

Settings → Secrets

添加：

• DASHSCOPE_API_KEY
• OPENROUTER_API_KEY
• 等

引用：

${secrets.DASHSCOPE_API_KEY}

优点

• UI 管理
• 不写在配置文件

缺点

• Secret 存储在 OpenClaw

适合：

OpenClaw 项目管理

---

五、macOS 推荐安全架构

对于本地 AI Agent 开发，推荐结构：

macOS Keychain

↓

启动脚本

↓

环境变量

↓

OpenClaw

示例：

export DASHSCOPE_API_KEY=$(security find-generic-password -s DASHSCOPE_API_KEY -w)
export OPENCLAW_GATEWAY_TOKEN=$(security find-generic-password -s OPENCLAW_GATEWAY_TOKEN -w)
openclaw

优点：

• API Key 不落盘
• Keychain 加密
• CLI 和 OpenClaw 都可访问

---

六、安全建议

不要：

• API key 写在 openclaw.json
• 提交到 GitHub
• 写入日志

---

七、OpenClaw 特别注意

由于 OpenClaw 支持 Skills / 插件系统：

理论上插件可以读取环境变量。

建议：

• API key 不写入配置文件
• 限制插件权限

---

八、Gateway Token

OpenClaw API 访问建议开启 Gateway Token。

生成：

openssl rand -hex 32

设置：

export OPENCLAW_GATEWAY_TOKEN="随机token"

调用 API：

Authorization: Bearer OPENCLAW_GATEWAY_TOKEN

---

九、总结

方案	安全性	推荐
.env 文件	⭐⭐	开发
Shell env	⭐⭐	开发
OpenClaw Secrets	⭐⭐⭐	项目
macOS Keychain	⭐⭐⭐⭐	推荐

推荐开发者组合：

Keychain → env → OpenClaw

这几种方案小编都亲测过，读者可以自研，有更好的方案可以留言。大家一起研究

---

End