繁忙的 OpenClaw 网关会把 API 密钥、Slack 用户 ID 和原始 LLM 对话写进明文日志。2026 年的答案不是「关掉日志」，而是结构化接收端、积极脱敏，以及 macOS 原生轮转，让租用的 Mac mini 不会在凌晨三点因磁盘写满把你叫醒。本文盘点路径、设定保留策略、配置 newsyslog 或 logrotate，并把验收与 openclaw doctor 对齐。升级与配置可延伸阅读 网关诊断、环境配置卫生 与 升级迁移清单。
盘点日志落点
从三处入手：LaunchAgent 的 StandardOutPath/StandardErrorPath、openclaw.json 声明的文件接收端，以及事故期间运维临时重定向。用表格记录负责人、保留等级与是否需不可变副本。预发机在调试常开时一周约 1～4 GB；生产在 INFO 默认下宜控制在 400～800 MB 周增量。
若转发到远端聚合，留意出口流量：LLM 密集轨迹用 zstd 压缩 JSON 行，通常比纯文本小约 55%。
脱敏模式
| 数据类型 | 模式 | 动作 |
|---|---|---|
| Bearer 令牌 | Authorization: Bearer … | 落盘前替换为 [REDACTED_BEARER]。 |
| 邮箱 | RFC5322 形态 | 工单场景可哈希或遮蔽本地部分。 |
| 电话 | E.164 | 审计模式可仅保留国家码。 |
| 工具输出 | 文件系统路径 | 去掉家目录前缀降低指纹风险。 |
启用脱敏后跑10 条合成提示并 diff 日志——遗漏密钥多出现在 verbose 工具轨迹的前 200 行。
macOS 上轮转
macOS 自带 newsyslog；不少团队也用 Homebrew 的 GNU logrotate 与 Linux 剧本对齐。务实策略：100 MB 或按天轮转（先到先执行）；磁盘保留 14 代，压缩归档每周上传对象存储。
# newsyslog.conf 示例行（路径请替换）
/path/to/openclaw.log 644 7 100 * G修改后执行 sudo newsyslog -v。仅当需要自定义 pre-rotate 钩子时才加 LaunchDaemon——多数网关不必。
磁盘预算与告警
- APFS 空闲低于 20% 告警，15% 升级为人肉值班。
- 备份可排除噪声缓存（
~/Library/Caches），但要监控其增长——浏览器自动化配置曾膨胀到 30 GB。 - 开启 TRACE 前快照；若一夜写入超 5 GB 立即回滚级别。
在 Apple Silicon 上，磁盘压力还会拖慢统一内存压缩——表象像 LLM 延迟飙升而非明显 I/O 报错。
运维节奏
- 每周：用
ls -lh核对轮转文件数量。 - 每月：随机抽样 500 行，用
rg搜令牌形态字符串。 - 每季：在沙盒 Mac mini 还原一份归档并重跑脱敏测试。
版本升级时对照 迁移清单，避免新版本悄悄增加第二条无人管理的日志路径。
远端投递安全
向 Splunk 或 OpenSearch 推送时用 TLS 与证书固定，环境与生产 API 密钥分离。曾有一次预发 HEC 令牌误写生产索引，引发72 小时合规清理。
结构化 JSON 便于解析，但体积比 key=value 大约多 20%；聚合端支持时对传输启用 gzip。
若在 Mac 上以 Docker 跑 OpenClaw，日志卷用 delegated 一致性，并在容器与宿主机同时轮转，避免多个 tail 争用文件句柄。
事故模式
一级事故时常把级别调到 DEBUG——文档规定 4 小时 内必须恢复并指定负责人。DEBUG 窗口内配合 doctor 探测，把通道健康与日志打在同一个附件包交给复盘。
法务保全：律师要求冻结日志时立即停止轮转删除并做卷快照；只拷日志目录可能漏掉合规工具依赖的扩展属性。
性能提示：繁忙网关上同步刷盘可能让每次工具调用多 15～40 ms——在运行时允许的前提下批量刷盘，但致命错误不得延迟。
多通道场景每行日志应带关联 ID；32 位 十六进制追踪 ID 对单日流量通常足够。教值班先用该 ID 串 LaunchAgent stderr 与应用日志再开厂商工单。
时区：文件存 UTC，仅在查看器展示本地时间。夏令时切换若混用偏移会导致 SLA 报表重复计数一小时——统一 ISO-8601 且带显式 Z。
权限：日志目录仅网关用户与只读 SIEM 账号；多租户 Mac mini 避免世界可读 chmod 644。macOS ACL 可给审计只读而不必 sudo——把 chmod +a 配方写进手册。
每季测试压缩归档还原：曾有团队 gzip 管道未正确重定向，导致大于 2 GB 文件在灾备演练时才暴露——在租用的 mini 上复现成本更低。
容量粗算：若每条 Slack 消息产生 3～6 行日志、工作区每天 12000 条消息，INFO 约 25 MB/天，DEBUG 约 180 MB/天——按保留天数反推云磁盘规格。
静态加密：FileVault 保护整卷仍不能替代传输层 TLS；空隔评审用 age 或 GPG 加密副本，密钥分库存放。
可观测性重复：同一载荷不要同时写本地与 stdout 除非采集端去重——我们曾见网关因双写磁盘膨胀 2.1 倍。
值班体验：事故中用 rg --line-buffered 过滤 ERROR；高延迟链路上对多 GB 文件慎用裸 tail -f。
子进程：OpenClaw 外呼浏览器或 Node 工具时，子进程可能继承文件描述符——在包装脚本里关闭多余 FD，否则轮转后空间仍不释放，曾隐藏满盘 36 小时。
文档债：每个新集成（Ollama、自定义 MCP）在内部 wiki 增加一段日志说明：默认路径、脱敏规则与示例 grep——新人 90 分钟 可上手而非两天。
轮转阈值变更时 changelog 留痕，审计会对照工单。
常见问题
是否应记录 LLM 提示全文？
仅当政策允许；更稳妥是哈希提示 ID，正文放受限桶并缩短 TTL。
Time Machine 能当日志归档吗？
不能替代明确保留策略；受监管行业需离箱不可变存储。
磁盘满时能直接删日志吗？
先删最旧轮转文件；勿对网关仍打开的活跃日志 rm -rf。
Mac mini 在 Apple Silicon 上提供可预期的 APFS 性能、网关常开低功耗，并有裕量吸收日志尖峰。MacHTML 提供带 SSH/VNC 的裸金属租赁，便于 enforce 轮转、验证脱敏，并在高风险 DEBUG 前快照——弹性 Mac 容量好过一台会睡眠、丢 webhook 的笔记本。