OpenClaw多模型配置中API Key必须从注入方式、存储位置、运行权限三方面设防：优先用环境变量注入（如export BAILIAN_API_KEY），禁用config.yaml明文存储；配置文件仅限极端场景且需chmod 600；运行时绑定127.0.0.1、非root运行、定期轮换密钥并审计日志。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
OpenClaw多模型配置时，API Key一旦泄露可能直接导致账户被盗刷、费用失控甚至权限越权，必须从注入方式、存储位置、运行权限三方面同步设防。
环境变量注入：最优先启用的安全路径
打开终端，执行 cd ~ 进入用户主目录。
编辑 Shell 配置文件：nano ~/.bashrc（Linux/macOS）或在 PowerShell 中运行 notepad $PROFILE（Windows WSL2）。
在文件末尾添加两行（替换为你的真实密钥）：
export BAILIAN_API_KEY="sk-xxxxxx"
export DEEPSEEK_API_KEY="sk-xxxxxx"
保存后执行 source ~/.bashrc（或重启 PowerShell），再用 echo $BAILIAN_API_KEY 验证是否加载成功。这一步操作起来很简单，直接把密钥藏进系统级变量里，既不写进代码也不落盘到项目目录。
【密钥明文写入 config.yaml 是高危操作，仅限无环境变量支持的纯 Windows GUI 场景下临时使用】
config.yaml 配置：仅限必要场景的备用方案
确认已执行过 openclaw onboard，生成 ~/.openclaw/config.yaml。
用文本编辑器打开该文件，在 providers: 区块下严格按 2 个空格缩进添加：
providers:
bailian:
api_key: "your_actual_key_here"
base_url: "https://dashscope.aliyuncs.com/compatible-mode/v1"
修改后必须执行 openclaw stop && openclaw start 才能生效——【跳过重启将导致密钥不被加载】
此方式仅适用于无法使用环境变量的极端情况，且配置文件需设为 600 权限：chmod 600 ~/.openclaw/config.yaml。
运行时加固：切断密钥暴露链路
第一步：禁用公网暴露
启动 OpenClaw 时务必不绑定 0.0.0.0，改用 --host 127.0.0.1 或默认 localhost 绑定。
第二步：限制进程权限
以非 root 用户运行服务，禁止容器或进程拥有宿主机 root 权限。若用 systemd 管理，应在 service 文件中设置 User=openclaw 和 NoNewPrivileges=true。
第三步：启用密钥轮换机制
在阿里云百炼控制台或 DeepSeek 平台定期（建议≤30天）创建新密钥，并同步更新环境变量值；旧密钥立即禁用，不可仅删除配置项。
第四步：审计日志检查
每天检查 ~/.openclaw/logs/ 下的 access.log，过滤含 api_key 或 Authorization 的异常请求行——发现即刻冻结对应密钥。
