把外部系统挂到 OpenClaw，自动化才会从「命令行演示」升级为「随时在线的队友」。2026 年的推荐形态是：HTTP 网关暴露受共享密钥保护的 /hooks/* 端点，同时在 Apple Silicon 上跑 Ollama，让 HTML/CSS 重构留在局域网推理路径里——前提是接线正确。本文说明如何启用 Webhook、在唤醒与智能体路由间取舍、在同一台 Mac 上校验 Ollama，并汇总升级后 GitHub issue 里仍常见的错误。
安全启用钩子与密钥
上游文档通常要求 hooks.enabled: true 并配置网关每次 POST 都校验的令牌。优先使用 Authorization: Bearer <token>；部分遗留客户端仍支持 x-openclaw-token。不要把密钥放进查询参数——它们会出现在访问日志与浏览器历史里。
修改配置后重启网关进程，并确认在反向代理终结 TLS 之前，监听器只绑定 127.0.0.1。在把任何端点暴露到笔记本之外前，请先阅读 生产环境网关加固指南，完成回环绑定、证书与隧道策略的对齐。
团队层面建议把密钥轮换写进日历：每季度生成新令牌，先在 staging 网关验证 24 小时，再滚动更新生产，并保留旧令牌短窗口以防回滚。若使用 macOS Keychain 存储，请记录条目名称与创建人，避免离职交接时无人知道如何更新。对多区域部署，确保每个环境的 openclaw.json 使用不同密钥，防止测试流量误触生产智能体。
日志字段应包含请求 ID 与钩子类型，便于把网关行与 Ollama 行关联。可在反向代理层注入 X-Request-ID，并在 OpenClaw 侧原样打印。对合规行业，禁用包含完整 JSON 正文的 debug 级别日志，或先对敏感字段做脱敏。若 webhook 来自第三方 SaaS，核对对方 IP 段与签名算法是否与文档一致，避免把伪造 POST 当成合法事件。
/hooks/wake 与 /hooks/agent
可把 POST /hooks/wake 理解为「轻戳系统」——CI 完成、日历提醒触发，或 CMS 希望智能体去轮询目录。POST /hooks/agent 则面向隔离运行，适合不可信 JSON 来自合作伙伴集成的场景，爆炸半径更小。
| 路由 | 典型负载 | 使用时机 |
|---|---|---|
/hooks/wake | 轻量信号与元数据 | 定时任务、仓库推送钩子 |
/hooks/agent | 任务正文与工具提示 | Jira/Linear 等待办的单票自动化 |
若同一条业务链路既需要唤醒又需要带工具参数，可在网关前用队列削峰：先接受 webhook 写入队列，再由工作进程按类型分流到内部 API，避免高峰时直接把 Ollama 打满。对需要严格顺序的流水线，给 payload 加单调递增序号并在处理器侧去重。
可复制粘贴的 curl 示例
从任何能到达网关的主机（常通过 SSH 隧道）执行：
curl -sS -X POST "https://gateway.example/hooks/wake" \
-H "Authorization: Bearer $OPENCLAW_HOOK_SECRET" \
-H "Content-Type: application/json" \
-d '{"source":"ci","build":"12345"}'本地测试可把 URL 换成回环隧道（如 https://127.0.0.1:8443/hooks/wake）。期望 HTTP 200 或 204 且带 JSON 正文；立刻返回 401 多为 Bearer 不匹配，404 多为网关版本过旧或路径拼写错误——注意尾部斜杠，部分代理会规范化路径导致意外。
智能体范围的测试几乎相同，仅路径替换：
curl -sS -X POST "https://127.0.0.1:8443/hooks/agent" \
-H "Authorization: Bearer $OPENCLAW_HOOK_SECRET" \
-H "Content-Type: application/json" \
-d '{"task":"Summarize dist/index.html headings","repo":"/Users/build/workspace/site"}'在 CI 中可用 jq 断言 .status == "accepted"。若负载均衡终结 HTTP/2，留意重复 POST 重试：幂等处理器应在约 5 分钟 窗口内识别相同 build ID 并短路，避免昂贵 Ollama 提示被双击执行。
对跨地域团队，建议在笔记本与云 Mac 各跑一遍相同 curl，确认 DNS、证书链与系统代理一致。若公司 SSL 检查中间人证书，记得把根证书导入云 Mac 钥匙串，否则 curl 成功而 Node 进程失败会造成「只有网关报错」的假象。
M 系列上的 Ollama：端口、模型与回退
Ollama 默认监听 127.0.0.1:11434。在运行 OpenClaw 的同一台 Mac 上验证模型目录：
curl -sS http://127.0.0.1:11434/api/tags | jq '.models[].name'在 openclaw.json 中用诸如 qwen2.5:7b 的明确 ID 固定模型；模糊别名可能让调度器回退到云端 API。若你刚读完 npm 与 Docker 部署对比，请确认容器或全局安装与 Ollama 处于同一网络命名空间——Docker 场景常需 host.docker.internal:11434 代替 localhost。
吞吐提示：Apple Silicon Mac mini 在 7B 级别模型上常见 35–50 tok/s；请为权重与 Node 网关 footprint 至少预算 8 GB 内存。区分原生 Ollama API 与 /v1 上的 OpenAI 兼容面：工具调用行为不同，OpenClaw 规划器可能按提供方字符串选择传输层。不确定时，用五行 JSON 工具模式分别测试，观察返回的是结构化参数还是纯文本，并把获胜组合写进 webhook 运维手册。
对大仓库，可在技能配置里限制索引路径，配合 .openclawignore 排除 node_modules 与构建产物，降低上下文窗口占用。若模型偶尔返回截断 diff，考虑把任务拆成「列文件」与「逐文件补丁」两阶段，并在钩子负载里携带明确的文件边界，减少智能体越界修改。
2026 年已知故障模式
- Ollama 完成后仍 HTTP 404。 关注上游 issue：运行结束但回调路由未找到。缓解：升级到最新补丁并确认反向代理原样转发
/hooks/*。 - Ollama 流式传输时自定义头被剥离。 需要
X-OLLAMA-KEY的受保护端点若在旧版本丢头会 403；在代理层注入头或升级直至修复。 - 已配置 Ollama 仍走 Anthropic。 从网关进程环境而非仅你的 shell 执行
curl，排查防火墙缝隙；显式设置agents.defaults.model.primary为ollama/model:tag并观察回退告警日志。 - 小模型拒绝工具模式。 部分 Gemma 级检查点在挂载工具时返回 HTTP 400；OpenClaw 可能自动去掉工具重试——请为小模型规划更简单的任务。
复现上述任一条时，请并行抓取网关与 Ollama 日志约 30 秒；对齐时间戳通常一次迭代就能判断是网络、鉴权还是模型侧问题。
若你使用外部向量库或检索插件，确认 webhook 触发的任务不会在同一秒启动过多并发索引刷新，以免把 SSD I/O 与模型排队同时打满。对需要严格 SLA 的团队，可为钩子处理器加重试上限与死信队列，把失败事件导出到 Slack 以便白天处理。
为何在租用的 Mac mini 上演练
Webhook 加本地推理意味着常驻进程：网关、Ollama，偶尔还有浏览器技能。云 Mac mini 把这些负载从笔记本电池上移开，保留 OpenClaw 插件期望的 macOS 路径，并让你在冒险升级前快照一份已知良好的 openclaw.json。实验搞砸时，重建比回收共享办公机更快。
组合 SSH 查看日志与偶发 VNC 点击隐私授权弹窗，同一节点两种访问方式，无需额外硬件。值得记录的指标：Webhook 周接受率目标 99.5%；从 POST 到首条智能体日志的 p95 延迟在局域网常见 300–800 毫秒；以及 Ollama 队列深度。若云厂商 429 激增，多半是钩子扇出触发过多并行智能体；可在 CI 用信号量节流或把 cron 错峰 30–60 秒。
对 HTML/CSS 仓库，让技能指向与静态构建相同的工作树，使 webhook 触发的 diff 仍可在同一 PR 审查。常见布局把仓库放在云 Mac 的 /Users/build/workspace/site，并用 .openclawignore 排除 node_modules 与 dist。桥接 Slack 或 Teams 时，每季度轮换签名密钥，并用 security add-generic-password 存入钥匙串，避免排障时 env | grep OPENCLAW 误泄露。
在 MacHTML 租用节点上，你可以按项目隔离用户与 LaunchAgent，避免不同客户的钩子互相读取临时文件。若需要合规审计，导出网关访问日志到只追加存储，并标注保留周期。对跨国团队，选择与主要用户同区域的机房，降低 TLS 往返对 webhook 尾延迟的影响。
最后，把「成功演练」定义成可重复剧本：从空机器到收到第一条 2xx webhook 的时间、涉及的命令序列、以及回滚步骤。每次大版本升级后重跑一遍，能显著降低周末 on-call 的心智负担。
常见问题
Ollama 已成功为什么仍出现 HTTP 404？
部分网关构建在 Ollama 作为提供方时会错误处理运行后回调。请升级 OpenClaw，确认 Webhook URL 与文档中的 /hooks/* 路径一致，并在响应阶段抓取网关日志。
是否允许把令牌放在查询字符串？
当前最佳实践拒绝在查询串中放密钥；请使用 Authorization: Bearer 或 x-openclaw-token 请求头。
已配置 Ollama 为何 OpenClaw 仍调用 Anthropic？
若主模型字符串不是有效的 ollama/ 引用，或网关进程无法访问守护进程，模型发现可能回退。请用 curl 验证连通性并显式固定 agents.defaults.model.primary。
租用 MacHTML 的 Apple Silicon 容量，可让 webhook 端点与 Ollama 模型 24/7 常驻而不过热节流个人 MacBook。稳定性直接转化为更少的 CI 钩子遗漏与更可预测的改写延迟。把租用节点当作生产级预发：每次成功演练后冻结依赖一周，再安排有计划的升级。
在 Apple Silicon 上预发 OpenClaw + Ollama
开通云 Mac mini，通过 npm 或 Docker 安装栈，再按帮助中心配置 SSH 隧道与 webhook 测试。