OpenClaw安全配置API Key的首选方式是环境变量注入：Linux/macOS执行export OFOX_ANTHROPIC_API_KEY="sk-ant-xxx"，Windows PowerShell执行$env:OFOX_ANTHROPIC_API_KEY="sk-ant-xxx"，并在openclaw.json中以"${OFOX_ANTHROPIC_API_KEY}"格式引用；次选方案为创建.gitignore保护的secrets.json文件并手动注入变量；严禁硬编码密钥至配置文件，否则提交GitHub将导致不可撤销泄露。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
OpenClaw 运行时若将 API Key 直接写在配置文件里，一旦代码提交到 GitHub 或被他人查看，密钥就会立刻泄露，导致账户被盗用、配额耗尽甚至产生高额账单。
优先用环境变量注入密钥
这是最安全、最通用的做法，密钥完全不落地到任何配置文件中。
第一步：打开终端，执行对应系统的命令设置变量。
Linux/macOS 用户运行：export OFOX_ANTHROPIC_API_KEY="sk-ant-xxx"export OFOX_OPENAI_API_KEY="sk-openai-xxx"
Windows PowerShell 用户运行：$env:OFOX_ANTHROPIC_API_KEY = "sk-ant-xxx"$env:OFOX_OPENAI_API_KEY = "sk-openai-xxx"
第二步：在 openclaw.json 中引用变量名，格式必须是 ${变量名}，不能多空格、不能漏大括号。
示例片段："apiKey": "${OFOX_ANTHROPIC_API_KEY}"
【变量名拼写错误会导致启动失败且无明确报错】OpenClaw 读取不到变量时会静默使用空字符串，请求直接 401，排查困难。
第三步：让变量持久生效（仅需做一次）
Linux/macOS：把 export 命令追加到 ~/.zshrc 或 ~/.bashrc 末尾，然后运行 source ~/.zshrc
Windows：在系统环境变量 GUI 中添加，或在 IDE 的 Run Configuration 里单独设置——【不要在 PowerShell 启动脚本里用 $env: 方式设，它只对当前会话有效】
次选方案：用独立密钥文件隔离
适合团队协作开发但又无法统一部署环境变量的场景。
创建一个名为 secrets.json 的文件，内容如下：
{<br> "OFOX_ANTHROPIC_API_KEY": "sk-ant-xxx",<br> "OFOX_OPENAI_API_KEY": "sk-openai-xxx"<br>}
把这个文件路径加入项目根目录下的 .gitignore，确保不会被 Git 跟踪上传。
OpenClaw 本身不原生支持直接加载 secrets.json，你需要手动修改启动逻辑或使用包装脚本读取该文件并注入环境变量——这一步必须由你自己实现，官方配置不提供该能力。
禁止行为：直接硬编码密钥
打开 openclaw.json，找到类似这样的字段：
"apiKey": "sk-ant-xxx"
只要这行存在，就代表密钥已暴露。哪怕只是本地测试，也请立刻删掉或注释掉。
Git 提交前务必检查：运行 git diff --cached | grep -i "sk-" ，如果输出任何内容，说明密钥正准备被推送到远程仓库。
【一旦密钥出现在 GitHub 公共仓库，必须立即登录 ofox.ai 控制台重置，旧密钥不可撤销】
