OpenClaw WebUI安全访问指南

首先，强调一个非常重要的安全提醒：如果直接使用服务器的公网IP访问OpenClaw的WebUI（即Dashboard），无异于将服务器暴露在网络攻击的射程之内。因此，Lighthouse服务器默认提供的一键部署OpenClaw应用模板，并未开放通过公网IP直接访问WebUI的通道。

若您确实需要通过WebUI进行操作，这里推荐两种相对安全的访问方式，您可以根据实际需求选择其中一种进行配置。

• 方式1（强烈推荐）：通过本地终端SSH隧道访问
• 方式2：通过OrcaTerm端口转发访问

方式1（推荐方案）：借助本地SSH隧道安全访问OpenClaw WebUI

此方案适用于熟悉SSH终端工具的用户。核心思路是在本地终端中建立一条SSH隧道，将远程服务“映射”到本地进行访问，从而避免直接暴露公网。

第一步，登录腾讯云控制台，找到已部署OpenClaw的轻量应用服务器，并记录其公网IP地址。

随后，在控制台中重置一次服务器密码，设置完成后务必牢记。密码强度要足够高——建议12位以上，必须包含大小写字母、数字和特殊符号，确保安全。

接着，在本地打开终端工具（例如OrcaTerm客户端版、Xterminal、Termius等），输入以下命令：

ssh -N -L 18789:127.0.0.1:18789 root@服务器公网IP地址

请将命令中的“root@”后面替换为您刚才记录的服务器公网IP。输入密码后回车，终端会进入无明显操作反馈的状态——此时切勿关闭该终端窗口。

然后，在本地电脑的浏览器中访问如下地址：

http://localhost:18789/

如果能正常打开页面，恭喜您，WebUI已经成功映射到本地。使用期间请保持该终端窗口开启，使用完毕后再关闭即可。

进入WebUI后，在左侧导航栏找到“Overview”，在Overview页面中填入OpenClaw的Gateway Token，即可开始使用。获取Token的方法：通过OrcaTerm登录服务器，在终端中运行以下命令：

cat /root/.openclaw/openclaw.json | grep -A2 token

安全警告：Gateway Token请务必妥善保管，一旦泄露将造成严重安全风险。

方式2（备选方案）：利用OrcaTerm端口转发访问OpenClaw WebUI

第二种方案借助腾讯云OrcaTerm终端的端口转发功能。OrcaTerm是腾讯云推出的智能远程终端工具，能够便捷地登录服务器，并自带AI辅助进行各类操作。

整体配置思路如下：

• 首先在OrcaTerm中为OpenClaw实例添加一条连接配置
• 然后为该实例设置端口转发——这是访问WebUI的关键步骤
• 最后配置访问权限，由您控制哪些人可以访问

详细配置步骤

添加连接配置

首先打开OrcaTerm首页，使用腾讯云账号登录。

在左侧菜单栏中找到并点击连接管理器。

点击新建按钮，在弹出的对话框中按以下内容填写：

• 选择“轻量应用服务器”，然后勾选已部署OpenClaw的那个实例
• 连接协议建议选择“免密连接”
• 用户名保持默认即可

配置完成后，点击连接并保存按钮。

完成实例内部配置

首先将以下命令复制到OrcaTerm中运行：

openclaw config set "gateway.controlUi" '{'''allowInsecureAuth''' : true}'
loginctl enable-linger $(whoami) && export XDG_RUNTIME_DIR=/run/user/$(id -u)
openclaw gateway restart
grep -A10 '''"gateway"''' /root/.openclaw/openclaw.json | grep '^s*"token"' | grep -v '''"mode"''' | sed -E 's/^[[:space:]]*"token":[[:space:]]*"([^"]*)".*/1/'

运行成功后，效果如下图所示：

提示：建议先将显示的Token记录下来妥善保存。

安全警告：Gateway Token务必严格保密，泄露后果极其严重。

接着，将以下命令复制到OrcaTerm中运行：

jq '.gateway.controlUi.dangerouslyDisableDeviceAuth = true' /root/.openclaw/openclaw.json > /tmp/oc.json && mv /tmp/oc.json /root/.openclaw/openclaw.json

完成此步骤后，即便有人试图通过公网IP访问您的WebUI，最多也只能看到如下页面：

接下来可以继续配置，真正实现对OpenClaw WebUI的安全访问。

设置并启用端口转发

端口转发在此处的作用相当于一个“中间人”——帮助您从互联网访问原本被限制在Lighthouse内部的WebUI，同时还能精细控制访问权限，保障安全性。

在左侧菜单中找到并点击端口转发，然后在端口转发页面点击新建按钮。

在新建端口转发的弹窗中，参考以下内容填写：

• 连接配置：选择上一步添加的连接配置
• 目标地址：填写127.0.0.1
• 目标端口：填写18789（WebUI的默认端口）
• 转发链接有效期：根据需求设置，过期后链接失效，需重新配置
• 访问控制（可选）：如果仅您自己使用，留空即可；如需授权他人，在下方填写对方的腾讯云账号ID

填写完毕后点击保存。

保存后，在端口转发列表的操作列，点击开始转发按钮。

随后点击转发地址列的点击跳转按钮，即可访问OpenClaw WebUI。此时只有您自己能够访问，其他人无权限。

如果一切顺利，您将看到如下页面：

将之前在OrcaTerm中获取的Token输入到WebUI（Dashboard）的“概览 > 网关令牌”中，然后点击连接。此时大概率会遇到一个报错信息：

origin not allowed (open the Control UI from the gateway host or allow it in gateway.controlUi.allowedOrigins)

不必担心，这是新版OpenClaw加强了WebUI的访问控制。我们来解决这个问题。

首先，回到OrcaTerm，复制端口转发地址：

将复制的端口转发地址粘贴到双引号中，然后复制并运行以下命令：

openclaw config set gateway.controlUi.allowedOrigins '["你的端口转发地址"]'

说明：端口转发地址的格式通常如下：
https://forward-xxxxxx-100012345678.orcaterm.cloud.tencent.com
因此您实际运行的命令类似：
openclaw config set gateway.controlUi.allowedOrigins '["https://forward-xxxxxx-100012345678.orcaterm.cloud.tencent.com"]'

到这一步，先不要急于继续。重启一次网关——您可以在应用管理页面重启：

或者直接运行以下命令：

openclaw gateway restart

重启后，再次访问或刷新端口转发地址的页面，可能会遇到新的报错：

invalid connect params: at /device/nonce: must NOT ha ve fewer than 1 characters

或者提示 pairing required：

没关系，还需要运行两条命令：

openclaw devices list

先将红框内显示的Request值复制下来，替换到下面命令中“Request”的位置：

openclaw devices approve Request

说明：例如，如果我的Request是 2d5eae7d-564d-484c-8003-7dc33c40f5e7，那么实际运行的命令就是：
openclaw devices approve 2d5eae7d-564d-484c-8003-7dc33c40f5e7

现在回到WebUI，刷新页面——应该能够正常访问了。

说明：上述解决origin not allowed报错的方法，特别感谢社区开发者“无可奉告丶”的贡献。

提示：如果刷新后仍然报错（例如点击Connect后仍显示Disconnected），可以在浏览器中再刷新一次页面，重新输入Token并再次点击Connect。

关闭端口转发

在端口转发列表的操作列，点击停止转发按钮即可。如需再次开启，点击开始转发按钮，或者直接新建一个端口转发。

授权他人访问WebUI（可选操作）

提示：建议优先采用按账号控制访问权限的方式。

在OrcaTerm左侧菜单中找到并点击端口转发，在列表中找到想要共享的端口转发。

先在操作列点击停止转发，再点击编辑按钮，将对方的腾讯云账号填入账号输入框中。

保存之后，重新点击开始转发按钮即可生效。