1. openclaw 接入飞书机器人时Key 到底该放哪如果你已经在本地把 openclaw 跑通了模型能对话、Gateway 能启动接下来想把飞书机器人接进来大概率会卡在同一个地方鉴权链路和回调链路是两套东西但配置全挤在一个文件里改着改着就乱了。openclaw 接入飞书机器人这件事本质上是两条独立的链路在同一个进程里汇合。一条是飞书侧的鉴权App ID、App Secret、事件订阅、权限范围这些决定飞书服务器愿不愿意把消息推给你。另一条是模型侧的鉴权baseUrl、apiKey、模型 id这些决定 openclaw 收到消息后能不能调通大模型。很多人第一次配的时候把飞书的 App Secret 和模型的 apiKey 混在一起理解结果日志里报 401 却去查飞书权限白白绕一圈。这篇面向的是本地已经跑通 openclaw、准备把飞书机器人接到统一 Key 通道的开发者。核心目标有两个一是给出一份可以直接复制的 config.toml / openclaw.json 骨架把飞书通道和模型通道分开写清楚二是把模型侧的 Key 管理收敛到 TaoToken 的 API 通道上这样你后面接别的工具时不用再到处翻 Key。飞书事件订阅用 Stream 模式WebSocket 长连接不需要公网服务器本地就能验证回调。适合谁看手上有一个飞书自建应用、openclaw 本地能启动、但还没把两者打通的人。如果你连 openclaw 都没装建议先把 Gateway 跑起来再回来。2. 把模型 Key 收敛到 TaoToken 的前置动作在动飞书配置之前先把模型侧的通道定下来。openclaw 的 models.providers 里需要填 baseUrl 和 apiKey这两个值如果每个工具都单独配一份后面换模型、换额度、排查 401 会非常痛苦。我试过把 Key 统一放在 TaoToken 的 API 通道上openclaw、其他 CLI 工具、临时脚本都指向同一个 baseUrl改一处就全生效。具体动作分三步。第一步去 TaoToken 官网注册并进入控制台地址是 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 登录后在控制台里创建 API Key。第二步拿到 Key 之后不要直接写死在 openclaw.json 里先用环境变量存一份配置文件里用占位符引用这样配置文件可以进版本库而不泄露。第三步确认 baseUrl 指向 https://taotoken.net/api 注意这个地址不带任何查询参数openclaw 的 openai-completions 协议会自动拼接 /v1/chat/completions 这类路径。这里有个容易踩的坑openclaw 的 providers 配置里 baseUrl 到底要不要带 /v1。实测下来TaoToken 的 API 通道在 openai-completions 模式下baseUrl 填 https://taotoken.net/api 即可openclaw 会自己补全版本路径。如果你填成 https://taotoken.net/api/v1 有些版本会拼成 /v1/v1/chat/completions 导致 404。拿不准的时候先用 curl 直接打一次接口确认路径再写进配置。Key 的权限建议只开模型调用不要开控制台管理权限。TaoToken 控制台里创建 Key 时可以选作用范围选最小必要的那一档。这样即使 Key 泄露损失也可控。创建完 Key 后顺手在控制台的模型列表里确认你要用的模型 idopenclaw 配置里的 models[].id 必须和这个 id 完全一致大小写都不能错。3. 可复制的 openclaw 配置骨架openclaw 的配置文件默认在用户目录下的 .openclaw/openclaw.jsonWindows 上是 C:\Users\你的用户名.openclaw\openclaw.jsonmacOS / Linux 是 ~/.openclaw/openclaw.json。下面这份骨架把飞书通道和模型通道分开写你只需要替换带 **** 的字段。先看模型侧重点是 baseUrl 指向 TaoTokenapiKey 用环境变量占位{ models: { mode: merge, providers: { taotoken: { baseUrl: https://taotoken.net/api, apiKey: ${TAOTOKEN_API_KEY}, api: openai-completions, models: [ { id: your-model-id, name: your-model-name, reasoning: false, input: [text], cost: { input: 0, output: 0, cacheRead: 0, cacheWrite: 0 }, contextWindow: 16000, maxTokens: 4096 } ] } } }, agents: { defaults: { model: { primary: taotoken/your-model-id }, workspace: ~/.openclaw/workspace, compaction: { mode: safeguard }, maxConcurrent: 4, subagents: { maxConcurrent: 8 } }, list: [{ id: main }] } }注意 provider 的 key 我写成了 taotokenagents.defaults.model.primary 里就要对应写成 taotoken/your-model-id这两处必须一致否则启动时会报 provider not found。再看飞书通道用 Stream 模式不需要 webhookHost 和 verificationToken{ channels: { feishu: { enabled: true, appId: cli_****, appSecret: ****, domain: feishu, connectionMode: websocket, dmPolicy: open, allowFrom: [*], groupPolicy: open, groupAllowFrom: [*], requireMention: true, typingIndicator: true, resolveSenderNames: true } }, plugins: { entries: { feishu: { enabled: true } } } }把这两段合并进你的 openclaw.json再补上 gateway 段。gateway 的 auth.token 是本地 Gateway 的访问令牌和飞书、和 TaoToken 都无关随便生成一个长字符串即可{ gateway: { port: 18789, mode: local, bind: loopback, auth: { mode: token, token: your-gateway-token }, tailscale: { mode: off, resetOnExit: false }, nodes: { denyCommands: [ camera.snap, camera.clip, screen.record, contacts.add, calendar.add, reminders.add, sms.send ] } } }飞书侧的参数里connectionMode 选 websocket 是关键。Webhook 模式需要公网 HTTPS 服务器本地开发没必要。dmPolicy 和 groupPolicy 先设成 open 方便调试等验证通过再收紧成 allowlist。requireMention 设 true 表示群里必须 机器人 才响应避免机器人在群里乱说话。飞书开放平台那边要同步做几件事创建企业自建应用拿到 App ID 和 App Secret在「事件订阅」里选 Stream 模式添加 im.message.receive_v1 事件在权限管理里加 im:message、im:message:send_as_bot、im:chat、im:chat:readonly、contact:user.base:readonly、im:resource 这几项最后创建版本并发布。权限没发布之前事件推不过来。4. 启动 Gateway 并验证一次消息回调配置写完后先设环境变量再启动。macOS / Linuxexport TAOTOKEN_API_KEYsk-你的key export OPENCLAW_CONFIG_PATH$HOME/.openclaw/openclaw.json ~/.openclaw/gateway.cmdWindows PowerShell$env:TAOTOKEN_API_KEYsk-你的key $env:OPENCLAW_CONFIG_PATH$env:USERPROFILE\.openclaw\openclaw.json $env:USERPROFILE\.openclaw\gateway.cmd启动成功的日志里会看到飞书通道的握手信息[feishu] starting feishu[default] (mode: websocket) [feishu] feishu[default]: bot open_id resolved: ou_xxxxxxxx [feishu] feishu[default]: starting WebSocket connection...看到 bot open_id resolved 说明 App ID 和 App Secret 是对的飞书服务器已经认出了你的机器人。如果卡在 starting WebSocket connection 不动多半是 App ID / App Secret 错了或者应用没发布版本。接下来做一次真实的消息回调验证。打开飞书找到你的机器人私聊发一句「你好」。预期行为是飞书把 im.message.receive_v1 事件通过 WebSocket 推给 openclawopenclaw 用 TaoToken 通道调模型然后把回复发回飞书。日志里会依次出现事件接收、模型请求、消息发送三段记录。如果机器人回了消息说明两条链路都通了。这时候你可以顺手验证一下 Key 是否真的走了 TaoToken去 TaoToken 控制台的用量页面看刚才那次请求有没有计入。有记录就说明 openclaw 确实在用统一 Key 通道而不是某个残留的旧配置。群聊验证稍微多一步把机器人拉进一个群机器人 发消息。因为 requireMention 是 true不 不会触发。如果 了没反应先看日志里有没有收到事件再看 requireMention 是否被某个群级配置覆盖了。5. 本篇常见报错排查401 Unauthorized日志里模型请求失败。先确认 TAOTOKEN_API_KEY 环境变量在当前 shell 里生效了用 echo $TAOTOKEN_API_KEY 检查。如果环境变量没问题检查 baseUrl 是不是写成了 https://taotoken.net/api/v1 改成不带 /v1 的版本。还有一种情况是 Key 被禁用或额度用尽去 TaoToken 控制台确认 Key 状态。飞书机器人无响应日志里没有事件记录。按顺序查应用是否已发布版本事件订阅是否选了 Stream 模式im.message.receive_v1 是否已添加权限是否已添加并发布。这四项缺任何一项飞书都不会推事件。另外确认 openclaw 进程还活着WebSocket 断线后不会自动重连的情况偶有发生重启 Gateway 即可。WebSocket 连接失败日志报 connection refused 或超时。确认 App ID 和 App Secret 没有多余空格复制的时候容易带上换行。确认 domain 填的是 feishu 而不是 lark除非你用的是国际版飞书。确认本机网络能正常访问飞书服务器公司内网如果有出站限制需要放行。群聊里 机器人 不回复。先确认机器人确实在群里。再确认消息里 的是机器人本身而不是 了别人。然后检查 requireMention 配置如果某个群的 groups 配置里把它设成了 false行为会不一样。最后看日志里 chat_id 是否在 groupAllowFrom 范围内如果 groupPolicy 是 allowlist 而 chat_id 不在列表里消息会被丢弃。多个 openclaw 实例接同一个飞书机器人连接反复掉。飞书 WebSocket 是单连接的后连的会把先连的踢掉。解决方案是只跑一个 Gateway 实例用 accounts 配置管理多个机器人账号或者改用 Webhook 模式配合负载均衡。本地开发场景下单实例就够了。模型回复了但内容不对像是用了旧模型。检查 agents.defaults.model.primary 里的 provider 前缀和 models.providers 的 key 是否一致。检查 models[].id 是否和 TaoToken 控制台里的模型 id 完全一致。改完配置后必须重启 Gatewayopenclaw 不会热加载模型配置。6. 把 Key 和回调链路固定下来的建议飞书这条链路调通之后建议做两件收尾的事。一是把 openclaw.json 里的敏感字段全部换成环境变量占位包括 appSecret 和 apiKey配置文件本身可以进版本库环境变量用 .env 或系统级变量管理。二是把 TaoToken 的 Key 单独建一个只给 openclaw 用这样后面接别的工具时各自独立某个 Key 出问题不会牵连全部。如果你后面还要接更多模型或更多工具可以直接在 TaoToken 控制台里再建 KeybaseUrl 始终是 https://taotoken.net/api 不用改。需要看模型列表和用量去模型对话页面需要管理 Key 和额度去 API Keys 页面接入文档在 doc 页面。长期跑编码类 Agent 的话Coding Plan 那条通道更适合持续调用。飞书事件订阅这块调试阶段用 open 策略上线前一定收紧成 allowlist把 allowFrom 和 groupAllowFrom 填成实际的 open_id 和 chat_id。open_id 和 chat_id 可以从日志里捞让用户发一条消息日志里会带出来。这样机器人不会在无关的群里被触发也不会被陌生人私聊消耗额度。