1. deepin 办公机跑 OpenClaw 星期五Skills 与 Plugins 到底怎么配OpenClaw 是一个可以在本地长期驻留、通过对话调用工具完成实际任务的智能体框架你可以把它理解成一个「住在你电脑里的助理」——它能读文件、跑命令、调接口而 Skills 和 Plugins 就是它的手脚和工具箱。Skills 决定它「会做什么」Plugins 决定它「能连什么」。在 deepin Linux 办公电脑上养一只叫「星期五」的 OpenClaw核心难点不在安装而在于把 Skills 与 Plugins 的加载顺序、目录结构和权限边界理清楚否则你会遇到「明明装了插件却调不到」「技能加载了但执行报权限错」这类问题。这篇内容适合三类人在 deepin 或其它 Linux 发行版上办公、想让 AI 帮忙处理 OA 和日常事务的普通用户已经装过 OpenClaw 但被 Skills/Plugins 配置卡住的人以及想用统一 Key 通道接入多家模型、不想在每台机器上重复填 Key 的人。我会从零开始把可复制的配置片段、逐条验证动作和真实报错排查都写清楚让星期五在你的办公环境里稳定响应。先说清楚一个前提OpenClaw 在 Linux 下是以用户级服务user service运行的它的文件读写权限和你当前登录用户完全一致。这意味着它动不了系统关键文件也没法自己 sudo 提权但对你 HOME 目录下的文档、代码、配置有完整读写权。所以配置 Skills 和 Plugins 时权限收窄这件事必须主动做不能指望它自觉。我踩过的坑是一开始把所有插件目录都设成 777结果某个插件误删了工作目录里的草稿文件虽然没伤到系统但那天下午的活白干了。后面我会给出更稳妥的目录权限方案。在 deepin 上OpenClaw 的配置根目录通常在~/.config/openclaw/Skills 放在~/.config/openclaw/skills/Plugins 放在~/.config/openclaw/plugins/。这两个目录的加载顺序是先加载 Plugins建立外部连接和能力注册再加载 Skills把能力编排成可调用的技能。如果你把顺序搞反或者 Skills 里引用了还没注册的 Plugin 能力就会在启动日志里看到skill load failed: dependency not registered。这个顺序不是随便定的它决定了你写配置时的依赖关系。关于模型接入我建议用统一的 Key/API 通道这样换模型不用改一堆配置文件。TaoToken 提供的就是这种统一通道一个 Key 可以走多家模型省去在每台办公机上重复配置的麻烦。下面第二节我会讲怎么把它接进 OpenClaw 的配置里。2. 接入 TaoToken 统一 Key/API 通道的前置准备在 deepin 办公机上让星期五能说话、能干活第一步是给它一个稳定的模型出口。OpenClaw 本身不绑定某一家模型它通过 OpenAI 兼容的接口协议去调用后端。TaoToken 的 API 地址是https://taotoken.net/api兼容 OpenAI 的/v1/chat/completions格式所以你只要在 OpenClaw 的模型配置里填上 Base URL、API Key 和 Model ID 这三件套就能跑起来。这里要强调Base URL 填https://taotoken.net/api不要自己加/v1后缀OpenClaw 的客户端会自己拼路径加错了会 404。前置准备分三块拿到 Key、确认网络能通、确认 OpenClaw 版本支持自定义 Base URL。拿 Key 的入口在控制台的 API Keys 页面登录后新建一个 Key复制出来存好——它只显示一次。如果你还没账号可以先从模型对话页面体验一下通道是否通再决定要不要长期用。对于要长期跑编码和 Agent 任务的场景Coding Plan 会更划算这个后面 CTA 部分会说。网络这块deepin 办公机一般走公司网络你只需要确认能正常访问https://taotoken.net/api即可。可以在终端里跑一条 curl 验证curl -sS -o /dev/null -w %{http_code}\n https://taotoken.net/api/v1/models \ -H Authorization: Bearer $TAOTOKEN_API_KEY如果返回 200说明通道通返回 401 说明 Key 不对或没带上返回 404 多半是路径拼错了。这一步别跳过很多人后面报local proxy failed其实是网络层就没通。OpenClaw 版本方面建议用近三个月内的版本老版本对自定义 Base URL 的支持不完整会出现「配置写了但不生效」的情况。查看版本openclaw --version如果版本太老按官方文档升级。升级前把~/.config/openclaw/整个目录备份一份因为大版本升级有时会改配置 schema备份能让你随时回滚。环境变量这块我建议把 Key 放在~/.config/openclaw/.env里而不是直接写进主配置。这样主配置可以进 git 管理Key 不会泄露。.env文件权限设成 600mkdir -p ~/.config/openclaw touch ~/.config/openclaw/.env chmod 600 ~/.config/openclaw/.env echo TAOTOKEN_API_KEYsk-你的Key ~/.config/openclaw/.env注意.env不要提交到任何仓库也不要在 Skills 里硬编码 Key。Skills 要调模型时走 OpenClaw 注入的环境变量而不是自己读文件。还有一点办公机上可能有多个用户OpenClaw 是用户级服务每个用户的配置是独立的。如果你在 A 用户下配好了切到 B 用户不会共享。所以配置要放在当前登录用户的 HOME 下别放到/etc或系统级目录那样反而会引入权限混乱。3. 可复制的 Skills 与 Plugins 配置片段这一节是核心我给你可以直接抄的配置。OpenClaw 的主配置是~/.config/openclaw/config.tomlSkills 和 Plugins 的注册也在这里声明。先看 Plugins 部分它负责注册外部能力比如 OA 接口、文件系统访问、HTTP 请求等。# ~/.config/openclaw/config.toml [model] provider openai-compatible base_url https://taotoken.net/api api_key_env TAOTOKEN_API_KEY model_id claude-sonnet-4-20250514 timeout_seconds 60 [plugins] # 加载顺序先 plugins 后 skills enabled [fs, http, oa-bridge] plugin_dir ~/.config/openclaw/plugins [plugins.fs] root ~/work read_only false allow_paths [~/work, ~/Documents/oa] deny_paths [~/.ssh, ~/.config/openclaw/.env] [plugins.http] allow_hosts [taotoken.net, oa.internal.example.com] max_redirects 3 [plugins.oa-bridge] endpoint https://oa.internal.example.com/api token_env OA_BRIDGE_TOKEN [skills] skill_dir ~/.config/openclaw/skills enabled [leave-apply, overtime-approve, meeting-room, timesheet-fill]这段配置里几个关键点api_key_env指向环境变量名而不是 Key 本身这样 Key 不落盘到主配置plugins.fs的allow_paths和deny_paths是白名单加黑名单deny_paths优先级更高所以.env和.ssh一定进黑名单plugins.http的allow_hosts限制它能访问的域名防止被诱导去请求未知地址。Skills 的目录结构是这样的~/.config/openclaw/skills/ ├── leave-apply/ │ ├── skill.toml │ └── handler.py ├── overtime-approve/ │ ├── skill.toml │ └── handler.py ├── meeting-room/ │ ├── skill.toml │ └── handler.py └── timesheet-fill/ ├── skill.toml └── handler.py每个 Skill 的skill.toml声明它依赖哪个 Plugin、需要什么参数。以请假为例# ~/.config/openclaw/skills/leave-apply/skill.toml name leave-apply description 提交请假申请 requires_plugins [oa-bridge] entry handler.py parameters [ { name leave_type, type string, required true }, { name start_date, type string, required true }, { name end_date, type string, required true }, { name reason, type string, required false } ]requires_plugins就是加载顺序的体现如果oa-bridge没注册成功这个 Skill 会加载失败并报dependency not registered。所以启动时先看 Plugins 有没有全绿再看 Skills。目录权限这块我建议这样设chmod 700 ~/.config/openclaw chmod 700 ~/.config/openclaw/skills chmod 700 ~/.config/openclaw/plugins chmod 600 ~/.config/openclaw/config.toml chmod 600 ~/.config/openclaw/.env find ~/.config/openclaw/skills -name *.py -exec chmod 700 {} \;这样只有当前用户能读写同机器其他用户看不到你的 Key 和技能逻辑。办公机如果多人共用这一步尤其重要。如果你用的是 Cline MCP 或 Codex 这类工具配置三件套的逻辑是一样的Base URL 填https://taotoken.net/apiKey 走环境变量Model ID 填你实际要用的模型。Codex 的auth.json里对应字段是base_url和api_keyCline MCP 的settings.json里是mcpServers下的env和args。不管哪个工具三件套缺一不可缺了就会 401 或连不上。4. 启动验证与成功结果确认配置写完先别急着让它干活按顺序验证。第一步检查配置语法openclaw config validate如果输出config OK说明 TOML 没写错。如果报unknown field多半是字段名拼错了对照官方 schema 改。第二步启动服务并看加载日志openclaw start --foreground前台启动能看到完整日志。正常的话你会看到类似这样的输出[plugins] loading fs ... ok [plugins] loading http ... ok [plugins] loading oa-bridge ... ok [skills] loading leave-apply ... ok [skills] loading overtime-approve ... ok [skills] loading meeting-room ... ok [skills] loading timesheet-fill ... ok [model] provider openai-compatible ready [server] listening on 127.0.0.1:8787Plugins 三个全 okSkills 四个全 ok模型 ready服务监听本地端口这就是成功状态。如果某个 Plugin 报connection refused检查oa-bridge的 endpoint 是否可达如果某个 Skill 报dependency not registered回去看它requires_plugins里的 Plugin 是不是没加载成功。第三步发一条真实请求验证模型通道curl -sS http://127.0.0.1:8787/v1/chat/completions \ -H Content-Type: application/json \ -d { model: claude-sonnet-4-20250514, messages: [{role: user, content: 回复 OK 两个字母}] }如果返回里有choices字段且内容是OK说明从 OpenClaw 到 TaoToken 再到模型的整条链路通了。这一步返回 401 就是 Key 问题返回reading choices相关错误就是响应格式没解析对通常是 Base URL 多加了/v1或少了路径。第四步验证 Skill 能被调用。在对话里说「帮我提交明天一天的年假」观察日志里是否出现skill leave-apply invoked。如果出现但执行失败看 handler 里的报错如果没出现说明模型没识别出该调哪个 Skill检查skill.toml里的description是否够清晰。第五步验证权限边界。故意让它读一个黑名单里的文件读一下 ~/.ssh/id_rsa正常应该被拒绝日志里出现path denied by policy。如果它真读出来了说明deny_paths没生效回去检查路径写法——~在 TOML 里不会自动展开最好写绝对路径比如/home/你的用户名/.ssh。全部通过后把服务切成后台常驻openclaw start --daemon systemctl --user enable --now openclaw用systemctl --user status openclaw看状态active (running)就对了。办公机重启后它会自动起来星期五就一直在。5. 常见报错排查401、local proxy failed、reading choices、OAuth这一节把真实会遇到的报错逐条拆开。第一个401 Unauthorized。原因通常是 Key 没带上、Key 过期、或者环境变量没被读到。排查顺序先确认.env里 Key 拼写正确再确认 OpenClaw 启动时加载了.env——有些启动方式不会自动读.env需要在 service 文件里加EnvironmentFile%h/.config/openclaw/.env。验证命令systemctl --user show openclaw -p Environment看输出里有没有TAOTOKEN_API_KEY。没有就补上然后systemctl --user daemon-reload systemctl --user restart openclaw。第二个local proxy failed。这个报错一般出现在 OpenClaw 尝试通过本地代理转发请求时。办公机如果设了http_proxy环境变量OpenClaw 可能会走代理而代理又不通。检查env | grep -i proxy如果有http_proxy或https_proxy指向一个不可用的地址要么清掉要么在 OpenClaw 配置里显式设置no_proxy。注意这里说的是本地网络配置不是让你去搭什么通道只是把环境变量理顺。第三个reading choices相关错误完整报错通常是error reading choices: unexpected end of JSON input或cannot unmarshal。这几乎都是 Base URL 配错导致的。正确写法是https://taotoken.net/api如果你写成https://taotoken.net/api/v1客户端再拼一次/v1/chat/completions就变成/api/v1/v1/chat/completions返回的不是标准 JSON解析就炸了。改回正确地址即可。第四个OAuth 相关报错。如果你在配置里用了需要 OAuth 的模型提供方会看到oauth token expired或refresh failed。OpenClaw 支持 OAuth 流程但办公机上浏览器回调可能被拦。解决办法是改用 API Key 方式也就是我们前面配的api_key_env绕开 OAuth。如果你确实要用 OAuth确保回调地址http://127.0.0.1:8787/oauth/callback在本地可访问且没有被防火墙拦。第五个Skill 加载了但调用时报plugin not available。这是加载顺序问题Plugins 没全加载成功Skills 却先注册了。看启动日志里 Plugins 部分有没有非 ok 的行。修复方法是把出问题的 Plugin 先修好或者临时从enabled里移除依赖它的 Skill避免启动失败。第六个权限报错permission denied出现在 Skill 执行时。检查 Skill 的 handler 文件权限是不是 700以及它要访问的路径是否在allow_paths里。办公机上如果 OA 接口需要额外 token确认OA_BRIDGE_TOKEN也在.env里且已加载。排查时养成一个习惯每次改完配置先openclaw config validate再前台启动看日志确认无误再切后台。这样能省掉大量「改了没生效」的困惑。6. 让星期五长期稳定干活的几个实用设置配置跑通只是开始办公环境要的是长期稳定。第一给 OpenClaw 的日志加轮转避免日志把磁盘写满。在~/.config/openclaw/config.toml里加[logging] level info file ~/.local/share/openclaw/openclaw.log max_size_mb 50 max_files 5第二给 Skills 加超时防止某个 OA 接口卡住导致整个服务无响应[skills.runtime] timeout_seconds 30 max_concurrent 3第三定期检查deny_paths是否覆盖了敏感目录。办公机上至少把~/.ssh、~/.gnupg、~/.config/openclaw/.env、~/Documents/财务这类加进去。每次新增 Skill 时回头看一眼它的requires_plugins和它可能访问的路径别让新技能绕过你的白名单。第四模型通道这块如果你要长期跑编码和 Agent 任务用 Coding Plan 比按量付费更省心Key 和 Base URL 不变只是计费方式不同。想先验证模型效果可以去模型对话页面直接试要管理 Key 就去 API Keys 页面接入细节看接入文档。这几个入口我都放在下面按需取用。第五备份配置。把~/.config/openclaw/里除.env外的内容定期打包换机器或重装时直接恢复。.env单独用密码管理器存不要和配置一起备份。最后说个真实体会星期五这种本地智能体价值不在「能聊天」而在「能替你点完那些重复的 OA 按钮」。Skills 写得越贴近你的实际流程它越好用。我现在的做法是每发现一个重复操作就写一个 Skill攒了两个月请假、加班、会议室、工时这些事基本一句话搞定。你从最简单的「查工时」开始写第一个 Skill跑通了再往上加比一上来就搞复杂编排稳得多。