Beheer-HTTP-RPC-plugin

​

Voordat je de Plugin inschakelt

• De aanroeper wordt vertrouwd om de Gateway te beheren.
• De aanroeper kan de WebSocket RPC-client niet gebruiken.
• De route is alleen bereikbaar via loopback, een tailnet of een privé-ingress met authenticatie.
• Je hebt de toegestane methoden gecontroleerd en ze komen overeen met de automatisering die je wilt uitvoeren.

​

Inschakelen

openclaw plugins enable admin-http-rpc
openclaw gateway restart

{
  plugins: {
    entries: {
      "admin-http-rpc": { enabled: true },
    },
  },
}

openclaw plugins disable admin-http-rpc
openclaw gateway restart

​

De route verifiëren

curl -sS http://<gateway-host>:<port>/api/v1/admin/rpc \
  -H 'Authorization: Bearer <gateway-token>' \
  -H 'Content-Type: application/json' \
  -d '{"method":"health","params":{}}'

{
  "id": "generated-request-id",
  "ok": true,
  "payload": {
    "status": "ok"
  }
}

​

Authenticatie

• authenticatie met een gedeeld geheim (gateway.auth.mode="token" of "password"): Authorization: Bearer <token-or-password>
• vertrouwde identiteitsdragende HTTP-authenticatie (gateway.auth.mode="trusted-proxy"): leid het verkeer via de geconfigureerde identiteitsbewuste proxy en laat deze de vereiste identiteitsheaders invoegen
• open authenticatie via een privé-ingress (gateway.auth.mode="none"): geen authenticatieheader vereist

​

Beveiligingsmodel

• Door de Plugin in te schakelen, bied je opzettelijk toegang tot de admin-RPC-methoden uit de allowlist op /api/v1/admin/rpc.
• De Plugin declareert het gereserveerde contracts.gatewayMethodDispatch: ["authenticated-request"]-manifestcontract, waardoor de met Gateway geauthenticeerde HTTP-route controlplanemethoden binnen het proces kan doorsturen. Dit is geen sandbox: het contract voorkomt onbedoeld gebruik van gereserveerde SDK-helpers, maar vertrouwde Plugins worden nog steeds uitgevoerd in het Gateway-proces.
• Bearer-authenticatie met een gedeeld geheim (token/password-modi) bewijst het bezit van het operatorgeheim van de Gateway; specifiekere x-openclaw-scopes-headers worden op dat pad genegeerd en de normale volledige operatorstandaardwaarden worden hersteld.
• Vertrouwde identiteitsdragende HTTP-authenticatie (trusted-proxy-modus) respecteert x-openclaw-scopes wanneer dit aanwezig is.
• gateway.auth.mode="none" betekent dat deze route geen authenticatie vereist als de Plugin is ingeschakeld. Gebruik dit alleen achter een privé-ingress die je volledig vertrouwt.
• Nadat de authenticatie van de Plugin-route is geslaagd, worden verzoeken afgehandeld via dezelfde Gateway-methodhandlers en bereikcontroles als WebSocket RPC.
• De route blijft bereikbaar tijdens een voorbereide opschortingslease. Begrensde verzoekvalidatie en het lokale commands.list-detectieantwoord blijven beschikbaar. Van de methoden die naar de Gateway worden doorgestuurd, mogen alleen gateway.suspend.prepare, gateway.suspend.status en gateway.suspend.resume worden uitgevoerd wanneer toelating is gesloten; andere methoden uit de allowlist retourneren het normale opnieuw te proberen Gateway-antwoord UNAVAILABLE.
• Houd deze route op loopback, een tailnet of een vertrouwde privé-ingress. Stel de route niet rechtstreeks bloot aan het openbare internet. Gebruik afzonderlijke gateways wanneer aanroepers vertrouwensgrenzen overschrijden.

​

Verzoek

POST /api/v1/admin/rpc
Authorization: Bearer <gateway-token>
Content-Type: application/json

{
  "id": "optional-request-id",
  "method": "health",
  "params": {}
}

• id (tekenreeks, optioneel): wordt naar het antwoord gekopieerd. Als dit wordt weggelaten, wordt een UUID gegenereerd.
• method (tekenreeks, vereist): naam van een toegestane Gateway-methode.
• params (elk type, optioneel): parameters die specifiek zijn voor de methode.

​

Antwoord

{
  "id": "optional-request-id",
  "ok": true,
  "payload": {}
}

{
  "id": "optional-request-id",
  "ok": false,
  "error": {
    "code": "INVALID_REQUEST",
    "message": "bad params"
  }
}

​

Toegestane methoden

• detectie: commands.list Retourneert de namen van de HTTP RPC-methoden die door deze Plugin zijn toegestaan.
• Gateway: health, status, logs.tail, usage.status, usage.cost, gateway.restart.request, gateway.suspend.prepare, gateway.suspend.status, gateway.suspend.resume
• configuratie: config.get, config.schema, config.schema.lookup, config.set, config.patch, config.apply
• kanalen: channels.status, channels.start, channels.stop, channels.logout
• web: web.login.start, web.login.wait
• modellen: models.list, models.authStatus
• agents: agents.list, agents.create, agents.update, agents.delete
• goedkeuringen: exec.approvals.get, exec.approvals.set, exec.approvals.node.get, exec.approvals.node.set
• Cron: cron.status, cron.list, cron.get, cron.runs, cron.add, cron.update, cron.remove, cron.run
• apparaten: device.pair.list, device.pair.approve, device.pair.reject, device.pair.remove
• Nodes: node.list, node.describe, node.pair.list, node.pair.approve, node.pair.reject, node.pair.remove, node.rename
• taken: tasks.list, tasks.get, tasks.cancel
• diagnostiek: doctor.memory.status, update.status

​

Vergelijking met WebSocket

​

Problemen oplossen

​

Gerelateerd

• Operatorbereiken
• Gateway-beveiliging
• Externe toegang
• Plugin-manifest
• SDK-subpaden