الويب

• الافتراضي: http://<host>:18789/
• مع gateway.tls.enabled: true: ‏https://<host>:18789/
• بادئة اختيارية: اضبط gateway.controlUi.basePath (مثلًا /openclaw)

​

الإعداد (مفعّل افتراضيًا)

{
  gateway: {
    controlUi: { enabled: true, basePath: "/openclaw" }, // basePath اختياري
  },
}

​

Webhook

​

استدعاء إجراءات HTTP عن بُعد للإدارة

​

الوصول عبر Tailscale

{
  gateway: {
    bind: "loopback",
    tailscale: { mode: "serve" },
  },
}

openclaw gateway

{
  gateway: {
    bind: "tailnet",
    controlUi: { enabled: true },
    auth: { mode: "token", token: "your-token" },
  },
}

openclaw gateway

{
  gateway: {
    bind: "loopback",
    tailscale: { mode: "funnel" },
    auth: { mode: "password" }, // أو OPENCLAW_GATEWAY_PASSWORD
  },
}

​

ملاحظات الأمان

• مصادقة Gateway مطلوبة افتراضيًا: رمز مميّز أو كلمة مرور أو وكيل موثوق، أو ترويسات هوية Tailscale Serve عند تمكينها.
• تظل عمليات الربط التي لا تستخدم local loopback تتطلب مصادقة Gateway: مصادقة برمز مميّز/كلمة مرور، أو وكيل عكسي مدرك للهوية مع gateway.auth.mode: "trusted-proxy".
• ينشئ معالج الإعداد الأولي مصادقة بسر مشترك افتراضيًا، وعادةً ما ينشئ رمزًا مميّزًا لـ Gateway، حتى على local loopback.
• في وضع السر المشترك، ترسل الواجهة connect.params.auth.token أو connect.params.auth.password أثناء مصافحة WebSocket.
• مع gateway.tls.enabled: true، تعرض أدوات لوحة المعلومات/الحالة المحلية عناوين URL باستخدام https:// وعناوين WebSocket باستخدام wss://.
• في الأوضاع الحاملة للهوية (Tailscale Serve وtrusted-proxy)، يُستوفى فحص مصادقة WebSocket من ترويسات الطلب بدلًا من سر مشترك.
• لعمليات نشر واجهة التحكم العامة التي لا تستخدم local loopback، اضبط gateway.controlUi.allowedOrigins صراحةً (أصول كاملة). تُقبل عمليات التحميل الخاصة من الأصل نفسه من دونه لمضيفي local loopback وRFC1918/الرابط المحلي و.local و.ts.net وTailscale CGNAT.
• يفعّل gateway.controlUi.dangerouslyAllowHostHeaderOriginFallback: true الرجوع الاحتياطي إلى أصل ترويسة Host؛ وهذا تخفيض خطير لمستوى الأمان.
• مع Serve، تستوفي ترويسات هوية Tailscale مصادقة واجهة التحكم/WebSocket عندما تكون gateway.auth.allowTailscale: true (لا يلزم رمز مميّز/كلمة مرور). لا تستخدم نقاط نهاية واجهة HTTP البرمجية ترويسات هوية Tailscale؛ بل تتبع دائمًا وضع مصادقة HTTP المعتاد لـ Gateway. اضبط gateway.auth.allowTailscale: false لطلب بيانات اعتماد صريحة حتى عبر Serve. يفترض هذا التدفق الخالي من الرموز المميّزة أن مضيف Gateway نفسه موثوق. راجع Tailscale والأمان.

​

بناء الواجهة

pnpm ui:build