1. 为什么你的 OpenClaw 总是「差点意思」第一次把 OpenClaw 跑起来的时候我脑子里想的是本地版贾维斯早上问一句今天有什么安排它顺手把邮件摘要、待办、代码仓库的异常都整理好。现实是装完之后它更像一个「会聊天的文件助手」——你问它答你不问它就干坐着。日程还是要手动翻日志还是要自己 grep重复命令还是得一遍遍敲。问题不在模型而在技能。OpenClaw 本身是个调度框架真正决定它能干什么的是挂在它下面的 skill。官方仓库里那十几个技能只覆盖了最基础的读写和查询剩下 80% 的场景要靠社区贡献。而社区技能散落在 GitHub 个人仓库、Discord 的 #showcase 频道、各种博客的「我写了個 skill」帖子里没有统一索引质量参差不齐。更麻烦的是skill 能执行命令、读文件、发网络请求这等于把供应链攻击面直接搬到了你本机。随便 clone 一个仓库就让它在生产机上跑风险不比当年 npm 恶意包小。所以这篇不打算给你一份「装了就完事」的清单。我会按场景把官方与社区里真正值得用的技能梳理一遍每个都给出可验证的动作——装完怎么确认它真的在工作而不是躺在列表里占位。同时因为很多技能要调外部模型 API我会把 TaoToken 的统一 Key 配置一次性讲清楚省得你每个技能都去改一遍 base_url 和 key。适合正在搭 OpenClaw 工作流、已经被「找技能」和「配 Key」两件事磨掉耐心的开发者。2. 前置用 TaoToken 统一 Key 打通 OpenClaw 的模型通道OpenClaw 的技能分两类一类纯本地执行比如文件搜索、日志解析、配置校验这类不碰网络装完就能用另一类要调 LLM 做总结、生成、语义检索比如邮件摘要、repo 问答、报告生成。后者才是真正让 OpenClaw「活」起来的部分但也是配置最容易翻车的地方——每个技能各自读自己的环境变量有的要OPENAI_API_KEY有的要ANTHROPIC_API_KEY还有的写死在skill.yaml里。你装五个技能可能要维护五套 Key。我的做法是统一走 TaoToken 的 API 通道。它兼容 OpenAI 和 Anthropic 两种协议格式一个 Key 就能覆盖大部分需要调模型的技能。官网在 https://taotoken.net API 入口是 https://taotoken.net/api 注意 API 地址不带查询参数直接填这个就行。具体到 OpenClaw模型通道的配置通常落在两个地方全局的~/.openclaw/config.toml以及每个技能自己的skill.yaml。全局配置负责给所有技能提供默认的模型端点技能级配置只在需要覆盖时才写。我建议全局配一次技能里尽量留空继承这样换 Key 或换模型只改一个文件。先看全局配置。OpenClaw 的config.toml里有一个[llm]段用来声明默认 provider# ~/.openclaw/config.toml [llm] provider openai-compatible base_url https://taotoken.net/api api_key sk-你的TaoTokenKey default_model claude-sonnet-4-20250514 timeout_seconds 60 max_retries 2这里provider填openai-compatible是因为 TaoToken 的/api端点走 OpenAI 兼容协议绝大多数技能都认这个格式。default_model我填的是 Claude 系列因为做摘要和代码理解时它的指令跟随更稳如果你更习惯 GPT 系换成对应的 model id 即可TaoToken 的模型列表在控制台能看到。然后是技能级配置。以email-summary-skill为例它的skill.yaml里通常有一个llm字段如果留空就继承全局如果要指定不同模型就写# skills/email-summary-skill/skill.yaml name: email-summary-skill version: 1.4.2 llm: inherit: true # 继承全局 config.toml 的 llm 段 # 如需覆盖取消下面注释并填写 # base_url: https://taotoken.net/api # api_key: sk-你的TaoTokenKey # model: claude-sonnet-4-20250514 permissions: - read: [~/.mail/**] - network: [https://taotoken.net/api]注意permissions.network这一项。OpenClaw 的权限模型要求技能显式声明它能访问哪些网络端点如果你只写了network: true而不指定域名某些版本会拒绝加载。把https://taotoken.net/api写进去既满足权限校验也让你自己清楚这个技能会把数据发到哪里。如果你用的是 Claude Code 那套配置习惯OpenClaw 也支持从~/.claude/settings.json读取 Anthropic 风格的端点。对应的片段是{ env: { ANTHROPIC_BASE_URL: https://taotoken.net/api, ANTHROPIC_API_KEY: sk-你的TaoTokenKey, ANTHROPIC_MODEL: claude-sonnet-4-20250514 } }这样配的好处是OpenClaw 里那些原本为 Claude 写的技能不用改代码就能直接跑。我实测下来repo-qa-skill和doc-gen-skill这两个对 Anthropic 协议支持最好的技能走这个配置一次就通了。配完之后别急着装技能先做一次连通性验证。OpenClaw 自带一个openclaw doctor命令会检查配置文件和网络端点openclaw doctor --check-llm正常输出里应该能看到llm endpoint: https://taotoken.net/api [ok]和model: claude-sonnet-4-20250514 [reachable]。如果这里就报错后面装再多技能也是白搭。Key 的获取和模型列表在控制台 https://taotoken.net/console API Key 管理页在 https://taotoken.net/api-keys 这两个页面建议收藏换 Key 和查用量都靠它们。3. 可复制配置把统一 Key 写进技能清单上一节讲的是单点配置这一节给你一份可以直接抄的完整片段覆盖 OpenClaw 最常见的三种技能类型纯本地技能、OpenAI 兼容技能、Anthropic 协议技能。你按自己的技能清单往里填就行。先建一个统一的配置目录我习惯放在~/.openclaw/下面mkdir -p ~/.openclaw/skills cd ~/.openclaw全局config.toml完整版# ~/.openclaw/config.toml [agent] name local-assistant workspace ~/.openclaw/workspace log_level info [llm] provider openai-compatible base_url https://taotoken.net/api api_key sk-你的TaoTokenKey default_model claude-sonnet-4-20250514 fallback_model gpt-4o-mini timeout_seconds 60 max_retries 2 [llm.anthropic] base_url https://taotoken.net/api api_key sk-你的TaoTokenKey model claude-sonnet-4-20250514 [skills] auto_load true sandbox true allow_network [https://taotoken.net/api]这里[llm.anthropic]段是给那些硬编码 Anthropic 协议的技能用的OpenClaw 在加载时会优先读技能自己的声明读不到就回落到这里。allow_network是全局白名单只有列进去的域名才允许技能访问这是防止某个技能偷偷往别处发数据的第一道闸。然后是技能清单文件skills/manifest.yaml把你打算装的技能列进去每个都标好模型通道# ~/.openclaw/skills/manifest.yaml skills: - name: calendar-query-skill source: official llm: none # 纯本地不调模型 permissions: - read: [~/.calendar/**] - name: email-summary-skill source: community llm: inherit # 继承全局 openai-compatible permissions: - read: [~/.mail/**] - network: [https://taotoken.net/api] - name: repo-qa-skill source: official llm: anthropic # 走 [llm.anthropic] 段 permissions: - read: [./repos/**] - execute: [git] - network: [https://taotoken.net/api] - name: log-parse-skill source: community llm: inherit permissions: - read: [/var/log/**] - network: [https://taotoken.net/api] - name: config-validator-skill source: community llm: none permissions: - read: [./configs/**, ./terraform/**] - execute: [yamllint, tfsec] - network: false # 明确声明不联网这份清单里llm字段有三个取值none表示纯本地inherit表示继承全局的 OpenAI 兼容配置anthropic表示走 Anthropic 协议段。permissions.network要么是具体域名列表要么是false不要写true。如果你用 Cline 或 CC Switch 管理过 MCP 服务会发现这套结构和它们的配置逻辑很像。Cline 的 MCP 配置里也是 Base URL、Key、Model ID 三件套OpenClaw 只是把它拆到了 TOML 和 YAML 两个文件里。Codex 的auth.json也是同样的思路只不过它把 Key 单独存一个文件。理解了这个对应关系迁移起来就很快。装技能的命令openclaw skill install --manifest ~/.openclaw/skills/manifest.yaml装完先别启动跑一次权限审计openclaw skill audit --all输出会列出每个技能实际请求的权限和你清单里写的是否一致。如果某个技能多要了网络权限或者文件读取范围这里会标红。我踩过的坑是有个社区技能在skill.yaml里写的是network: false但代码里偷偷调了外部 APIaudit命令能通过静态分析抓出来。这一步花两分钟能省掉后面很多麻烦。4. 验证请求确认技能真的在工作配置写完、技能装完接下来是逐项验证。很多人到这一步就停了结果用了一周才发现某个技能根本没生效只是没报错而已。下面按技能类型给你可复制的验证动作。先验证模型通道本身。用 OpenClaw 的ask命令直接问一句看它能不能拿到模型回复openclaw ask 用一句话说明你现在用的是哪个模型端点正常返回会包含模型 id 和端点信息。如果返回401 Unauthorized说明 Key 不对或者没生效如果返回connection refused检查base_url是不是写成了带路径的完整地址。TaoToken 的 API 地址就是https://taotoken.net/api不要在后面加/v1或/chat/completionsOpenClaw 会自己拼。然后是纯本地技能以calendar-query-skill为例openclaw skill run calendar-query-skill --input 今天下午三点后有空吗预期返回是一段自然语言告诉你哪个时间段空闲。如果返回空或者报no calendar source found检查~/.calendar/目录下有没有.ics文件以及skill.yaml里的read路径是否匹配。这个技能不调模型所以不涉及网络验证起来最快。接着验证走 OpenAI 兼容通道的技能用email-summary-skillopenclaw skill run email-summary-skill --input 总结今天的未读邮件 --dry-run--dry-run会走完整的模型调用链路但不实际发送邮件或写文件。返回里应该有一段摘要文本以及llm_used: openai-compatible和endpoint: https://taotoken.net/api的元信息。如果摘要为空但没报错多半是模型返回了空内容检查default_model是否在 TaoToken 的模型列表里。控制台 https://taotoken.net/console 能看到当前 Key 可用的模型。Anthropic 协议技能用repo-qa-skill验证cd ~/your-repo openclaw skill run repo-qa-skill --input 最近一次提交改了哪些文件这个技能会先做本地语义索引再调模型生成回答。第一次跑会慢一些因为要建索引。返回里应该包含文件列表和一段解释。如果报reading choices failed通常是模型返回格式不符合预期检查[llm.anthropic]段的model字段是不是写成了 OpenAI 的模型名。Anthropic 协议和 OpenAI 协议的返回结构不一样模型名混用会直接导致解析失败。最后验证一个带网络权限的社区技能比如log-parse-skillopenclaw skill run log-parse-skill --input /var/log/nginx/error.log 里最近有什么异常返回应该是一段异常模式总结。如果报local proxy failed说明技能尝试走本地代理但没找到检查allow_network白名单里有没有https://taotoken.net/api以及系统环境变量里有没有残留的HTTP_PROXY。OpenClaw 默认不走系统代理但某些技能会读环境变量残留的代理配置会干扰。全部验证通过后启动完整工作流openclaw start --workspace ~/.openclaw/workspace然后在对话里依次触发每个技能确认它们能协同工作。我习惯用一个「早间简报」场景做端到端测试让它查日程、总结邮件、拉取仓库异常、解析最近日志。四个技能都返回结果说明配置和权限都没问题。5. 常见报错排查401、local proxy failed、reading choices、OAuth这一节把上面验证过程中可能遇到的报错集中讲一遍每个都给出真实错误信息和修复动作。401 Unauthorized。最常见出现在任何调模型的技能里。错误长这样llm request failed: status401, body{error:{message:invalid api key}}三个检查点第一api_key是不是复制时带了空格或换行TOML 里字符串不要跨行第二Key 是不是在 TaoToken 控制台被禁用或过期了去 https://taotoken.net/api-keys 确认状态第三技能级配置里有没有写死一个旧的 Key 覆盖了全局。用openclaw doctor --check-llm能快速定位是哪一层的问题。local proxy failed。错误信息skill network error: local proxy failed: dial tcp 127.0.0.1:7890: connect: connection refused这是技能尝试走本地代理但代理没开。OpenClaw 本身不要求代理但如果你系统里设过HTTP_PROXY或HTTPS_PROXY环境变量某些技能会继承。修复方式是清掉这些变量或者在config.toml里显式声明[network] proxy none。注意不要在这里填任何代理地址直接禁用即可。reading choices failed。这个报错通常出现在 Anthropic 协议技能里llm response parse error: reading choices failed: field choices not found原因是技能按 OpenAI 的返回结构去解析但实际走的是 Anthropic 协议返回里没有choices字段。检查manifest.yaml里这个技能的llm字段是不是写成了inherit而它本身需要anthropic。改过来之后重启 OpenClaw 生效。反过来如果 OpenAI 协议技能被配成了anthropic会报reading content failed同理。OAuth 相关报错。有些技能尤其是对接 Google Calendar、Gmail 的会走 OAuth 流程错误长这样oauth token refresh failed: invalid_grant这跟 TaoToken 的 Key 无关是技能自己的 OAuth token 过期了。修复方式是重新走一遍授权流程通常在技能的setup命令里openclaw skill setup calendar-query-skill --reauth它会打开一个本地回调地址让你重新授权。注意这个流程不需要任何特殊网络配置按提示操作即可。如果invalid_grant反复出现检查系统时间是否准确OAuth 对时间偏差很敏感。还有一个不报错但技能不工作的情况技能装上了openclaw skill list也能看到但触发时没反应。这通常是权限没通过。跑openclaw skill audit --all看有没有标红的项或者直接看日志tail -f ~/.openclaw/logs/skill.log日志里会写permission denied: network access to https://taotoken.net/api not in allowlist这类信息。把对应域名加进allow_network就行。6. 技能清单怎么选官方与社区的分层策略技能不是越多越好。我自己的清单维持在 8 到 10 个分三层基础层常驻场景层按需实验层隔离。基础层放官方认证的技能比如calendar-query-skill、repo-qa-skill、incident-alert-skill这些更新稳定、权限克制适合当日常基础设施。场景层放社区里验证过的技能比如email-summary-skill、log-parse-skill、config-validator-skill用的时候启用不用的时候不占资源。实验层放新出的、还没经过时间检验的技能跑在单独的 workspace 里确认行为符合预期再往上层挪。筛选社区技能时我看四个指标最近一次更新时间超过一年没动的慎用、skill.yaml里的权限声明是否具体写network: true的不如写具体域名、有没有公开的 issue 和修复记录、以及是否声明了security-policy联系方式。这四个都过关才进实验层。如果你需要更系统的技能发现方式TaoToken 的接入文档 https://taotoken.net/doc 里有关于模型通道和权限模型的说明配合 OpenClaw 官方的 skill 开发指南看能帮你理解每个技能背后的权限设计意图。想直接试模型对话效果的话https://taotoken.net/models 这个入口可以快速验证 Key 和模型是否可用。长期跑编码和 Agent 任务的话Coding Plan 页面 https://taotoken.net/coding-plan 有更细的配额说明。最后给一个实操建议每次装新技能前先跑openclaw skill audit看权限再在隔离 workspace 里跑一周确认没有异常网络请求和文件写入再挪进主工作流。这个习惯花不了多少时间但能让你在享受自动化的同时不用半夜担心某个技能在后台干了什么。