OpenClaw 控制面的代理驗證

概要

• 幫控制面加一層代理驗證Nick 在 OpenClaw 貢獻了 trusted proxy auth mode。控制面前面已經有代理把關時，WebSocket 連線不用再貼 token，也不用每次配對裝置。
• 起因是嫌麻煩就算前面已經有代理，過去還是得貼 auth token，token 還會跑進 query string，裝置也得配對。Nick 覺得這除了安全，也是使用體驗上的改進。
• 設定只多幾個欄位模式改成 trusted proxy，填上代理的 IP，再指定放使用者身分的 header。Nick 用的是 JWT，允許名單則交給 Pomerium 的 policy 處理。
• 社群補上漏掉的洞Nick 只在已配對過的本機環境測試，沒碰到某個 bug，後來 Anthony 回報、Sid 修掉。專案也太熱，PR 常常要 rebase。
• 在 Discord 上指揮 OpenClaw 做 MCP appNick 把自己的 OpenClaw（McClaw）接上 ChatGPT 裡的 MCP app，用聊天要它改 widget、做出 search speakers，過程不用 SSH 進主機。
• 能公開暴露是因為有代理本機的 workspace 以 Pomerium 設了存取條件才開成公開網址。Nick 也提醒，有人暴露了不該暴露的東西，安全要先想。

原話

• “people in the community step up, so OSS for the win.”

  社群的人會站出來補，開源萬歲

  ▶ 05:55

• “it's the age of personal software”

  現在是個人軟體的時代

  ▶ 08:04

• “It's deterministically indeterminate.”

  它的結果是確定地不確定

  ▶ 13:24

• “nice way to gate stuff that is local”

  這是把本機的東西擋起來的好方法

  ▶ 15:33

• “Definitely take security into consideration.”

  一定要把安全放進考量

  ▶ 16:22

延伸

• Nick 說幾年前看到 Replit 主打在手機上做東西，還想不通為什麼要這樣，現在自己反而習慣在手機上靠聊天開發。
• Nick 提到有人不小心暴露了東西，還有人刪光自己的信件，作為「安全要先想」的例子。