OpenClaw — 漏洞、加固与 VPS 部署

经过匿名处理的公开文档，介绍如何在 VPS 上安全部署 OpenClaw：访问架构、已知漏洞以及实际故障案例及解决方案。

来自真实 OpenClaw 运营的公开、净化文档：如何在不暴露网关的情况下在 VPS 上部署平台，哪些 CVE/问题在实践中重要，以及生产环境中出现的故障（附修复方案）。

当前版本 / Current version: v1.1 · 更新日志 · GitHub Releases

---

本仓库是什么 / What this repository is

这是文档，不是 OpenClaw 的分支或安装程序。事故中涉及的平台版本通常为 OpenClaw v2026.3.x。

This is documentation, not an OpenClaw fork or installer. Platform version referenced in incidents is typically OpenClaw v2026.3.x.

---

为什么需要事故文件 / Why the incident files

概述和部署计划说明了如何配置。事故文件展示了实际运营中哪些环节出现故障，以及哪些校准/配置修复了问题——让读者避免重蹈覆辙。

The overview and deployment plan say how to configure. Incidents show what broke in real operations and which calibrations/config fixes resolved it — so readers do not repeat the same failures.

它们需要作为实用的事后复盘放在仓库中，紧邻建议，而不是作为单独的“新闻日志”。

They belong in the repo as practical post-mortems next to the recommendations, not as a separate news feed.

---

推荐阅读顺序 / Recommended reading order

RU

1. openclaw_обзор_public.md — 功能、风险、安全性（CVE / Issue #9627）
2. развёртывание_решение_public.md — 第 0–12 阶段及架构决策
3. incident_*.md 文件 — 具体故障及校准（参见上文原因）

EN

1. openclaw_overview_public_en.md — 功能、风险、安全状态
2. deployment_plan_public_en.md — 第 0–12 阶段及架构
3. incident_*.md 文件 — 故障与修复（参见上文原因）

---

架构（当前推荐） / Architecture (current recommendation)

• Gateway 和 Web UI 仅在 127.0.0.1 上；不要对外开放 OpenClaw 端口。 / Gateway and Web UI on 127.0.0.1 only; do not publish OpenClaw ports.
• 管理 UI/CLI：SSH 隧道。 / Admin UI/CLI: SSH tunnel.
• 移动聊天：Telegram（出站长轮询）。 / Mobile chat: Telegram (outbound long polling).
• 两条出站路径（不要混淆）： / Two outbound paths (do not confuse):
  • LLM / OpenRouter → HTTPS_PROXY gateway
  • Telegram 媒体 → channels.telegram.proxy
• Docker sandbox mode=all 并设置内存限制（仅靠 sandbox 无法避免 Chromium OOM）。 / Docker sandbox mode=all plus memory limits (sandbox alone does not stop Chromium OOM).

---

文件 / Files

---

v1.1 简介 / What’s new in v1.1 (short)

RU

• 无 Tailscale 的架构（SSH + Telegram）
• 新增两起事故：Telegram 媒体代理、sandbox OOM
• 重写了安全部分（Issue #9627 + config set，实际缓解措施）
• 完整列表：CHANGELOG.md

EN

• Architecture without Tailscale (SSH + Telegram)
• Two more incidents: Telegram media proxy, sandbox OOM
• Security section rewritten (Issue #9627 + config set, practical mitigations)
• Full list: CHANGELOG.md

---

创建日期：2026 年 2 月 22 日，00:24 更新日期：2026 年 7 月 11 日，13:06