OpenClaw绑定域名打不开是因为设备配对强制要求来源为localhost、SSH隧道或Tailscale内网；必须先通过SSH隧道（如ssh -L 18789:localhost:18789）访问http://127.0.0.1:18789完成配对，再修改allowedOrigins配置并重启服务方可支持域名访问。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
OpenClaw部署后绑定域名打不开，是因为它的设备配对机制强制要求访问来源必须属于三类可信安全上下文：网关本机的localhost/127.0.0.1、SSH隧道映射到本地的localhost/127.0.0.1，或Tailscale内网；任何域名（哪怕已解析到服务器IP）都会被直接判定为非可信来源，配对验证必然失败——这不是配置遗漏，而是OpenClaw底层安全机制的硬性限制。
先完成核心配对（必须走SSH隧道）
这一步不可跳过。域名访问永远无法触发配对流程，必须先让网关认下你的设备。
第一步：确保服务器端OpenClaw正在运行，执行openclaw status确认状态为active。
第二步：在本地电脑终端执行SSH端口转发命令：ssh -L 18789:localhost:18789 user@your-server-ip。注意替换user为实际用户名，your-server-ip为服务器真实IP地址。
第三步：保持SSH连接不关闭，在本地浏览器打开http://127.0.0.1:18789。此时流量经加密隧道抵达服务器，网关识别为localhost来源，配对界面正常加载。
第四步：按页面提示完成设备配对（输入token或扫码），直到看到“Paired successfully”提示。配对成功后，该设备永久注册进网关白名单。
修改配置允许域名访问（仅限配对后使用）
配对完成后，才能放开限制让域名访问生效。否则改了也没用，因为配对环节根本过不去。
编辑配置文件~/.openclaw/openclaw.json，找到gateway.controlUi.allowedOrigins节点。
将原值替换为包含你域名的数组，例如："allowedOrigins": ["https://ai.yourdomain.com", "http://192.168.1.100:18789"]。如果只用于测试且无HTTPS，可临时加"http://your-domain.com"，但【生产环境必须用HTTPS域名】。
保存文件后执行openclaw gateway restart重启网关服务。
验证域名访问是否生效
方法一：直接在浏览器中输入你的域名+端口，例如https://ai.yourdomain.com:18789（注意必须是HTTPS）。
方法二：若使用反向代理（如Caddy/Nginx），确保代理配置中X-Forwarded-Proto头被正确传递，否则网关会因协议不匹配拒绝请求。
方法三：打开浏览器开发者工具→Console标签页，刷新页面。若出现origin not allowed报错，说明allowedOrigins没写对或没生效；若出现net::ERR_CONNECTION_REFUSED，说明反向代理未转发到18789端口或防火墙拦截了该端口。
