CLI - node 命令（无头节点主机）

openclaw node

运行无头节点主机，连接到 Gateway WebSocket，在本机暴露 system.run / system.which 能力。

使用场景

• 在远程 Linux/Windows 机器（构建服务器、NAS）上执行命令
• 为 CI 节点提供轻量级无头执行目标
• 将 exec 委托给其他主机，同时保持 Gateway 侧的沙箱隔离

执行仍受 exec approvals 和 per-agent allowlist 保护。

前台运行

openclaw node run --host <gateway-host> --port 18789

选项：

• --host：Gateway WebSocket 主机（默认 127.0.0.1）
• --port：端口（默认 18789）
• --tls / --tls-fingerprint <sha256>：TLS 连接
• --node-id <id>：覆盖节点 ID（会清除配对 token）
• --display-name <name>：覆盖显示名称

后台服务

openclaw node install --host <gateway-host> --port 18789
openclaw node status | start | stop | restart | uninstall

额外安装选项：

• --runtime <node|bun>：服务运行时
• --force：强制重装

认证配置

认证优先级（不支持 --token/--password 标志）：

1. OPENCLAW_GATEWAY_TOKEN / OPENCLAW_GATEWAY_PASSWORD 环境变量
2. 本地配置 gateway.auth.token / gateway.auth.password
3. remote 模式下：gateway.remote.token / gateway.remote.password

非 loopback 的 ws:// 连接需设置 OPENCLAW_ALLOW_INSECURE_PRIVATE_WS=1，否则启动失败。

配对流程

首次连接会在 Gateway 创建 pending 配对请求（role: node），需手动审批：

openclaw devices list
openclaw devices approve <requestId>

节点状态存储于 ~/.openclaw/node.json。

自动审批（可选，默认关闭）：

{
  gateway: { nodes: { pairing: { autoApproveCidrs: ["192.168.1.0/24"] } } }
}

浏览器代理

节点主机默认自动暴露浏览器代理（browser.enabled 未禁用时），Agent 可直接使用该节点的浏览器自动化能力，无需额外配置。

禁用方式：

{ nodeHost: { browserProxy: { enabled: false } } }

Exec Approvals

system.run 受本地 exec approvals 控制：

• 文件：~/.openclaw/exec-approvals.json
• CLI 管理：openclaw approvals --node <id|name|ip>

相关链接

• cli-nodes — 节点管理命令
• cli-approvals — exec approvals 管理