OpenClaw Watch Dog

核心功能

openclaw-watchdog 是一款专为 OpenClaw 网关设计的自愈合监控服务。它在后台持续运行，每15秒对 localhost:3117/health 执行健康检查。当检测到连续3次故障时，系统会自动尝试重启网关；若两次重启均失败，则通过 Telegram 向用户发送告警，并等待用户授权后才执行进一步操作（如重新安装）。

显著优点

• 本地诊断：所有日志分析和模式匹配均在设备本地完成，不向外传输敏感数据
• 加密存储：Telegram 凭证采用 AES-256 加密，密钥与机器绑定
• 非破坏性：关键操作（如重装）需用户显式批准，避免自动化误伤
• 跨平台：支持 macOS LaunchAgent 和 Linux systemd 用户级服务
• 即时通知：故障发生时秒级推送 Telegram 消息，确保用户第一时间知晓

潜在局限

• 单点依赖：告警渠道完全依赖 Telegram，若用户未及时处理消息可能导致服务长期中断
• 本地局限：仅监控本机网关状态，无法检测网络层或上游服务故障
• 配置门槛：需用户自行申请 Bot Token 并查找 Chat ID，对非技术用户不够友好
• 无历史分析：缺少趋势统计或长期健康报告，仅提供即时告警

适合人群

• 运行 OpenClaw 网关且需要高可用保障的个人开发者
• 希望减少人工巡检、实现故障自动恢复的技术用户
• 对数据隐私敏感、要求诊断数据不出本地的场景

常规风险

• 凭证泄露风险：若设备被入侵，加密文件可能被暴力破解（尽管概率较低）
• 服务权限：以用户级服务运行，若网关需要 root 权限重启可能失效
• Telegram 依赖：Bot 被封禁或网络封锁将导致告警通道中断

核心用法

openclaw-watchdog 是一款专为 OpenClaw 网关设计的后台监控守护服务。用户需提供 Telegram Bot Token 和 Chat ID 完成初始化，系统将自动安装为 macOS LaunchAgent 或 Linux systemd 用户服务。守护进程每 15 秒轮询 localhost:3117/health 端点，连续 3 次失败后触发自动重启流程，最多尝试 2 次重启后进入待人工确认状态。

显著优点

1. 零信任本地架构：诊断与日志分析完全在设备本地执行，敏感数据不上传第三方服务器
2. 机器绑定加密：Telegram 凭证采用 AES-256-CBC 加密，密钥派生自机器唯一标识（IOPlatformUUID+主机名+用户名），即使配置文件泄露也无法跨设备解密
3. 受控自动化：自恢复行为设有明确边界——2 次重启失败后停止自动操作，改为 Telegram 请求用户人工授权（通过创建 ~/.openclaw/watchdog/approve-reinstall 文件触发）
4. 双平台原生支持：无缝适配 macOS LaunchAgent 与 Linux systemd 用户级服务，无需 root 权限

潜在局限

• 单一告警通道：仅支持 Telegram Bot 推送，无邮件/SMS/Slack 等备选方案
• 网络依赖：Telegram API 访问需稳定国际网络连接，部分地区可能需要代理
• Token 管理责任：用户需自行保管 Bot Token，泄露意味着他人可向该 Bot 发送消息（虽无法解密历史凭证）
• 日志无轮转：长期运行可能产生较大单一日志文件

适合人群

• 需要 7×24 运行 OpenClaw 网关的个人开发者或小型团队
• 追求"部署后免维护"体验的用户
• 熟悉 Telegram 生态、已有 Bot 使用经验的场景
• 对数据隐私敏感、拒绝云监控方案的用户

常规风险

| 风险项 | 说明 | 缓解措施 |

|--------|------|----------|

| Subprocess 执行 | 调用 `openclaw`、`systemctl`、`launchctl` 等系统命令 | 命令参数硬编码/已验证，无注入漏洞 |

| 服务持久化 | 写入用户级 systemd/LaunchAgent 配置 | 仅限用户目录，不影响系统级服务 |

| Telegram API 依赖 | 单点外部通信端点 | HTTPS 加密传输，无其他数据上报 |

安全评分 90/100（A 级），核心功能经 CLS-Certify v2.1.0 完整扫描认证。