fail-open 与 fail-closed 对照（代理侧）
代理运行时为准，池化生产勿用首行默认。💻
| 模式 | 未命中白名单时 | 适用 | 协作风险 |
|---|---|---|---|
| 失败打开 | 仍尝试直连 | 本机排障 | 池内漂移难发现 |
| 失败关闭 | 立即拒绝并记审计 | 生产与预发基线 | 须配工单放行窗 |
| 补丁白名单 | 仅登记域与路径模板 | 网关滚动发布 | 须版本化与哈希对拍 |
最小复现实验室（五步）
各网关同维护窗执行；输出落盘便于 diff。令牌零四四零分文件，勿把密钥写进 JSON。
- 钉死 Node：Node 二十长期支持线与网关说明一致；
node -v、npm -v跨节点须同，否则先停滚。 - 安装：
npm ci后openclaw doctor只读看依赖、监听口与证书。 - 运行时补丁：白名单加失败关闭写入进程生效层；管理回环、业务走登记口，端口隔离防与构建机冲突。
- 验收：
openclaw validate --profile gateway --format json > /var/tmp/oc-gateway-validate.json，核对状态与代理块。 - 回滚点：记策略包哈希、令牌路径、构建号；失败即回滚，禁半热更接队列。
可引用阈值：各节点策略哈希逐字同；白名单条数差非零即漂移；监听口排序后须同。
校验期望与 JSON 片段
validate 吐真值快照：失败关闭、白名单条数、监听口、策略哈希。重点三块：状态、代理、合规。合并请求附排序后 JSON 防抖防误报。
{
"ok": true,
"profile": "gateway",
"policy_sha256": "…",
"proxy": {
"fail_closed": true,
"egress_allowlist_count": 12,
"listen_ports": [ "127.0.0.1:25430", "10.0.0.5:443" ]
},
"compliance": { "secrets_mode": "0440", "drift": "none" }
}失败关闭假或漂移非空则流水线失败；节点禁入队直至对齐。出站审计只写指纹不写明文。令牌轮换见插件文。
回滚检查点
吊销临时票、挂回上一快照、重载或滚动完再跑 validate，输出须与窗前基线一致；忌只回磁盘不重载致假安全。
多节点 diff 对齐（防协作漂移）
各节点 JSON 排序后 diff -u；有差先摘流再对齐。队列拒绝策略哈希不一致的 worker，逼回单一事实源，避免每人一台手改环境变量。详见故障转移。
下一步（公开页）
OpenClaw · 网关
把多节点代理收敛成可对拍的 JSON 真值
首页套餐；帮助术语；集群文见按钮。免登录浏览。