Control UI 是由 Gateway 提供服务的一个小型 Vite + Lit 单页应用 (SPA)：

• 默认：http://<host>:18789/
• 可选前缀：设置 gateway.controlUi.basePath (例如 /openclaw)

它直接与同一端口上的 Gateway WebSocket 通信。

如果 Gateway 运行在同一台计算机上，请打开：

• http://127.0.0.1:18789/ (或 http://localhost:18789/)

如果页面无法加载，请先启动 Gateway：openclaw gateway。

认证在 WebSocket 握手期间通过以下方式提供：

• connect.params.auth.token
• connect.params.auth.password 仪表板设置面板允许您存储 Token；密码不会被持久化。 入门向导默认生成一个 Gateway Token，因此在首次连接时请将其粘贴在此处。

• 通过 Gateway WS 与模型聊天 (chat.history, chat.send, chat.abort, chat.inject)
• 聊天中的流式工具调用 + 实时工具输出卡片 (Agent 事件)
• 频道：WhatsApp/Telegram/Discord/Slack + 插件频道 (Mattermost 等) 状态 + QR 登录 + 每频道配置 (channels.status, web.login.*, config.patch)
• 实例：在线列表 + 刷新 (system-presence)
• 会话：列表 + 每会话 thinking/verbose 覆盖 (sessions.list, sessions.patch)
• Cron 任务：列表/添加/运行/启用/禁用 + 运行历史 (cron.*)
• 技能：状态、启用/禁用、安装、API Key 更新 (skills.*)
• 节点：列表 + 能力 (node.list)
• 执行批准：编辑 Gateway 或节点允许列表 + 询问 exec host=gateway/node 的策略 (exec.approvals.*)
• 配置：查看/编辑 ~/.openclaw/openclaw.json (config.get, config.set)
• 配置：应用 + 带验证的重启 (config.apply) 并唤醒最后活跃的会话
• 配置写入包含基础哈希保护，以防止覆盖并发编辑
• 配置 Schema + 表单渲染 (config.schema, 包括插件 + 频道 Schemas)；原始 JSON 编辑器仍然可用
• 调试：状态/健康/模型快照 + 事件日志 + 手动 RPC 调用 (status, health, models.list)
• 日志：带过滤/导出的 Gateway 文件日志实时追踪 (logs.tail)
• 更新：运行包/git 更新 + 重启 (update.run) 并附带重启报告

• chat.send 是 非阻塞的：它立即确认 { runId, status: "started" }，响应通过 chat 事件流式传输。
• 使用相同的 idempotencyKey 重新发送时，如果正在运行则返回 { status: "in_flight" }，完成后返回 { status: "ok" }。
• chat.inject 将助手注释追加到会话记录中，并广播 chat 事件以仅更新 UI（无 Agent 运行，无频道投递）。
• 停止：
  • 点击 Stop (调用 chat.abort)
  • 输入 /stop (或 stop|esc|abort|wait|exit|interrupt) 进行带外中止
  • chat.abort 支持 { sessionKey } (无 runId) 以中止该会话的所有活动运行

保持 Gateway 在 Loopback 上，让 Tailscale Serve 通过 HTTPS 代理它：

openclaw gateway --tailscale serve

打开：

• https://<magicdns>/ (或您配置的 gateway.controlUi.basePath)

默认情况下，当 gateway.auth.allowTailscale 为 true 时，Serve 请求可以通过 Tailscale 身份头 (tailscale-user-login) 进行认证。OpenClaw 通过使用 tailscale whois 解析 x-forwarded-for 地址并将其与头匹配来验证身份，并且仅当请求通过 Tailscale 的 x-forwarded-* 头到达 Loopback 时才接受这些请求。如果您希望即使对于 Serve 流量也要求 Token/密码，请设置 gateway.auth.allowTailscale: false (或强制 gateway.auth.mode: "password")。

openclaw gateway --bind tailnet --token "$(openssl rand -hex 32)"

然后打开：

• http://<tailscale-ip>:18789/ (或您配置的 gateway.controlUi.basePath)

将 Token 粘贴到 UI 设置中（作为 connect.params.auth.token 发送）。

如果您通过普通 HTTP (http://<lan-ip> 或 http://<tailscale-ip>) 打开仪表板，浏览器将在 非安全上下文 中运行并阻止 WebCrypto。默认情况下，OpenClaw 阻止 没有设备身份的 Control UI 连接。

推荐修复： 使用 HTTPS (Tailscale Serve) 或在本地打开 UI：

• https://<magicdns>/ (Serve)
• http://127.0.0.1:18789/ (在 Gateway 主机上)

降级示例 (仅 Token over HTTP):

{
  gateway: {
    controlUi: { allowInsecureAuth: true },
    bind: "tailnet",
    auth: { mode: "token", token: "replace-me" },
  },
}

这将禁用 Control UI 的设备身份 + 配对（即使在 HTTPS 上）。仅在您信任网络时使用。

参见 Tailscale 获取 HTTPS 设置指南。

Gateway 从 dist/control-ui 提供静态文件。构建命令：

pnpm ui:build # 首次运行时自动安装 UI 依赖

可选的绝对路径基础（当您需要固定的资源 URL 时）：

OPENCLAW_CONTROL_UI_BASE_PATH=/openclaw/ pnpm ui:build

用于本地开发（单独的开发服务器）：

pnpm ui:dev # 首次运行时自动安装 UI 依赖

然后将 UI 指向您的 Gateway WS URL（例如 ws://127.0.0.1:18789）。

Control UI 是静态文件；WebSocket 目标是可配置的，并且可以与 HTTP 源不同。当您希望在本地使用 Vite 开发服务器但 Gateway 在其他地方运行时，这很有用。

1. 启动 UI 开发服务器：pnpm ui:dev
2. 打开类似如下的 URL：

http://localhost:5173/?gatewayUrl=ws://<gateway-host>:18789

可选的一次性认证（如果需要）：

http://localhost:5173/?gatewayUrl=wss://<gateway-host>:18789&token=<gateway-token>

注意：

• gatewayUrl 加载后存储在 localStorage 中，并从 URL 中移除。
• token 存储在 localStorage 中；password 仅保存在内存中。
• 当 Gateway 位于 TLS 后面（Tailscale Serve, HTTPS 代理等）时使用 wss://。

远程访问设置详情：远程访问。