1. 痛点拆解：暴露面不是「端口开了就行」
（1）绑定语义：0.0.0.0 在开发方便但在生产等于向所有网卡暴露管理面；与局域网扫描、误配防火墙、IPv6/双栈漏规则叠加后风险陡增，监听清单应随版本迭代复核。
（2）技能层供应链：ClawHub 技能即 workspace 侧可执行路径；无钉扎与 diff的升级可能带来过度权限或隐蔽外联。安装时拉取的传递依赖也可能在变，即使技能 headline 版本未改；建议在 CI 记录完整解析结果，哈希漂移未经评审即失败。
（3）容器与挂载：只读根须配数据卷白名单，否则失控任务仍可写爆挂载路径。只读标志拦不住「过宽的允许挂载」带来的凭证整盘可读；在威胁模型包含提示注入驱动工具调用时，应叠加主机文件权限与 seccomp/AppArmor 等约束。
2. 接入拓扑对照：本机绑定、反代、Tailscale 与 SSH 隧道
| 模式 | 适用 | 代价 / 注意 |
|---|---|---|
仅 127.0.0.1 + 本机客户端 |
个人开发、无远程需求、最小暴露 | 远程调试需额外隧道；别把「本机」误解成「安全」，恶意本地软件仍可访问 |
| 反向代理 + TLS（可配 mTLS） | 需要 HTTPS 终止、统一审计日志、WAF/速率限制 | 证书与上游健康检查运维成本；避免双端明文 |
| Tailscale/WireGuard 叠加仅内网地址 | 小团队远程运维、不想把管理口暴露在公网 | 身份与设备清单治理（离职设备吊销）；ACL 要写清端口 |
SSH -L 本地转发 |
临时排障、Jump Host 已存在、最短改造 | 长期依赖易变成「人形隧道」；应用层仍应收敛绑定 |
对照表可协调安全与交付：反代集中 TLS 但私钥与健康检查成新单点；Tailscale 缩公网暴露但要设备清单与吊销流程；SSH 转发宜救火，长期「人肉隧道」难审计。每环境选一主模式，例外入变更单。
更换接入模式时，用同一套烟测重放：健康检查端点、代表技能一次成功调用、一次应被拒绝的路径。保留结构化日志或抓包片段，与工单并存，让审计能对照「配置—观测—行为」三角，而不是只看 README。
3. 落地五步走：把 Gateway 当生产资产加固
- 画数据流：频道入口、Gateway 监听、模型/API 出口、workspace I/O；缺边则易默认
0.0.0.0。 - 冻结监听契约：bind、端口、TLS 终止写文档；变更走 PR 并附 gateway 状态前后对比。
- 技能钉扎审计：记录 URL/commit、时间、权限；升级前
diff+ 最小权限复核。 - 容器只读模板：只读根、tmpfs/缓存卷、明确 workspace/状态挂载；禁止整盘挂
$HOME。 - 观测与回滚：日志含来源、频道、技能退出码；失败可一键回镜像/包，见《Gateway 回滚》。
4. 可引用阈值与成本清单（评审向）
写进安全评审可用的量级（按你的威胁模型复评）：
- 30 分钟内列不出监听地址与端口 → 高漂移：先冻结文档与探测再加频道。
- 技能 >15 且半数未做哈希/diff → 强制季审 + 钉扎。
- 可写挂载大于业务最小集（如整盘
$HOME）→ 下窗拆卷。
5. 远程 Mac 常驻 Gateway：何时值得单独节点
| 信号 | 建议动作 |
|---|---|
| 笔记本合盖睡眠导致频道掉线、Webhook 积压 | 迁到远程常驻 Mac或专用 VPS；launchd 与电源策略单独验收，参阅《SSH/VNC 选型》 |
| 同机混跑图形/转码与 Gateway，频繁 OOM 或端口争用 | 进程与机器隔离；远程节点专注 Gateway + 轻量工具面 |
| 需要把管理口完全移出办公网 | Tailscale ACL + 仅绑定 tailnet IP；公网侧只留频道 Webhook 入口经反代 |
| 升级后鉴权漂移（见《无回复排错》） | 升级前备份 workspace 与状态目录，《迁移清单》重跑配对 |
6. FAQ：Webhook 要不要验签？技能能不能自动更新？
问：生产环境是否应监听 0.0.0.0？默认应否；确需时须工单、时限、回滚与威胁建模背书。常态应为回环或 tailnet 地址 + 反代，勿照搬「监听所有接口」到公网。
问：Webhook 与管理/调试路由如何隔离？在反代用不同主机名或路径前缀、不同限速桶；尽量拆分证书。勿把健康检查、指标与 Webhook 混在同一无前缀路径。日志须带请求类别标签，便于事故时滤噪。
问：安装技能前最低限度审什么？发布者、commit/哈希、文件/子进程/网络权限、隐含外联；与钉扎版只读 diff，触及凭据路径或扩大 glob 须第二人复核。
问：Webhook 入口如何最小暴露？在反代层做路径级隔离与速率限制；应用层验签密钥独立轮换；禁止把调试接口与 Webhook 同路径前缀混用。
问：技能自动更新安全吗？仅当发布渠道可控（内网镜像、可信 tarball）且 CI 对钉扎夹具重放烟测时可自动；公网 always-latest 应限沙箱，勿与持有长生命周期 Token 的主机同栈。
问：MEMORY.md 与技能权限有关吗？记忆文件扩大的是数据暴露面，不是网络面，但同样要备份与权限位控制；参见《记忆治理》。
问：Docker 只读后配置写哪？仅允许白名单卷与 tmpfs；配置变更应通过镜像版本或受控挂载文件，而不是在只读层上「临时 chmod」。持久密钥勿落在容器内世界可读路径。
7. 深度分析：从「能连上」到「能追责」
2026 年自建 Agent 网关的常态是：功能迭代快于安全基线文档。OpenClaw 一类网关同时接触外部消息入口与内部工具执行面，其风险模型接近「小型 API 网关 + 工作流引擎」的合体：任何一条未鉴权的调试路由、任何一个过度宽泛的文件 glob，都会在真实业务里被放大。失败模式也不止于远程利用，还包括伪造 Webhook、密钥多环境轮换不同步导致验签雪崩等运维型事故。
暴露面治理的核心不是堆砌防火墙规则，而是把监听与回调写进可版本化的契约：谁在什么接口上监听、哪个上游可以打到它、哪张证书终止 TLS——这些应和代码变更同样走评审。否则「昨天还能用」往往等价于「昨天有人改了 bind 地址但没人记得」。ClawHub 带来速度也带来供应链噪声：应把技能当第三方服务管理——钉扎版本、对升级做差异摘要；无摘要的上线默认拒绝。若上游只提供浮动 tag，应镜像到你掌控的制品库再晋升。
容器只读根若不配最小卷白名单，仍可能通过挂载把 SSH 密钥、云凭证整盘暴露；Runbook 应写明允许路径并在策略测试里拦截「图省事」式挂载。远程 Mac 常驻时须用 launchd 明确守护域与日志轮转，避免绑在会睡眠或注销的交互会话上。图形或推理重载与 Gateway 同机时，内存与尾延迟争用会导致频道掉线，必要时进程与机器隔离。
8. 可观测性：把「被扫了」变成指标
建议跟踪：非预期来源 IP、Webhook 验签失败率、技能错误码分布、Gateway 重启、磁盘写入突增、出站连接扇出。验签飙升多因密钥轮换不同步；写盘飙升多因日志或技能大文件；出站域名突变优先 diff 近期升级的技能。
告警路由应指向能改 bind 与技能钉扎的角色，而非仅通用基础设施值班——许多事故通过回滚配置 PR 比加机器更快止血。
| 观测项 | 采集方式 | 异常时优先怀疑 |
|---|---|---|
| 管理口出现公网扫描 | 反代访问日志 + 地理/ASN 过滤 | bind 暴露、错误发布防火墙、双栈 IPv6 漏规则 |
| 技能调用延迟尾增 | 按技能名分桶 p95 | 外联 API 限速、磁盘 I/O、模型端点抖动 |
| 容器重启循环 | 编排事件或 launchd 日志 | 只读根上写配置、卷权限、健康检查误杀 |
9. 对内评审：安全证据包应包含什么
除截图外，应交付：监听与回调清单（含变更 diff）、技能版本表与哈希/提交 ID、反代/Tailscale ACL 片段、容器挂载拓扑图、最近两次升级的回滚验证记录。无回滚验证的上线在事故中往往无法止损。
10. 收束：自建网关能跑与能审计是两件事
（1）限制：单机混跑、默认 bind、技能无审计时，攻击面与运维面耦合；密钥泄露的影响半径取决于挂载与工具权限。（2）远程 Mac：专用常驻节点可稳定频道与 Webhook，launchd 与日志策略与桌面栈一致。（3）MACGPU：可租赁远程 Mac 降低办公机睡眠与混载风险；CTA 指向首页与帮助。（4）自检：从外网或办公网对照文档扫描声明端口，不一致先修配置或文档。
11. 实战补充：与安装栈和 Docker 的衔接
npm、Docker Compose、pnpm 三套路径决定数据目录与回滚路径；加固清单须随栈切换更新，并与《安装路径三栈》《Docker 生产部署》《Gateway systemd/launchd》对齐。用户态与 root 可写目录、升级节奏不同，勿把某台笔记本的临时 setup 当成生产范式。
12. 每周值班七查：补上网关「漂移」
五步建立基线；七查捕获排期压力下的配置漂移。
- 将当前监听与冻结的 bind 契约 diff，不一致先开单再合新频道。
- 看 Webhook 验签错误率，对照频道侧状态页是否有关联事件。
- 扫描技能版本是否存在未钉扎的 latest/浮动 tag，能钉尽钉。
- 确认 workspace 与记忆文件备份任务成功，失败须当日补齐。
- 检查日志与产物目录磁盘增长，饱和前轮转或裁剪。
- 核对 Tailscale/VPN 设备清单与在职员工、外包一致。
- 在预发用上一份黄金制品做一次受控回滚演练并留记录。