2026 OpenClaw sur Mac distant : sondes GOPROXY, scripts de repli et journaux CI

Les récupérations de modules empilent DNS, TCP, TLS, HTTP et comportement de cache. Sur des runners Apple Silicon qui partagent la montée avec l’automatisation bureau, un pic de tirages concurrents peut affamer le premier saut proxy alors que les miroirs de repli sont sains. Les magasins de certificats divergent souvent entre shells de connexion et comptes de service : on voit alors des erreurs TLS ressemblant à un « mauvais chemin de module ».

Lorsqu’OpenClaw ou des compagnons déclenchent des builds, vous voulez un hôte dans un état connu avant d’exécuter Go. C’est pourquoi nous rangeons openclaw doctor dans la même famille de prévol que go env : les deux exposent PATH, permissions et hypothèses réseau héritées par l’étape modules. Pour la patrouille passerelle et launchd, voir le guide LaunchAgent et contrôle de santé ; pour la philosophie retry plus large, récupération sur erreur et retries OpenClaw.

Exécutez de haut en bas sur un Mac de préproduction avant de promouvoir le même plist et le même YAML CI vers la production.

• Socle installé. Node 22 ou plus récent, CLI OpenClaw sur le PATH de l’utilisateur service, npm ou install officiel sans invite sudo dans la CI.
• Onboard puis doctor. Lancer openclaw onboard une fois par image machine, puis openclaw doctor ; traiter chaque avertissement permissions, binaires manquants ou chemins de config.
• Parité toolchain Go. Épingler go version entre images ; afficher go env GOPROXY GOPRIVATE GONOPROXY GOSUMDB GOMODCACHE au début du job.
• Sonder avant d’exporter. Toucher chaque base GOPROXY avec curl et timeouts explicites ; noter le code HTTP et le temps mur dans le journal du job.
• Envelopper les téléchargements. Exécuter go mod download dans un script capable de changer de chaîne et de plafonner les tentatives — pas une commande nue dans un wrapper opaque.
• Démon optionnel. Si le Mac doit s’auto-réparer entre jobs CI, installer un LaunchAgent qui lance la sonde à intervalle régulier avec ThrottleInterval pour éviter les boucles serrées.
• Hygiène des journaux. Tee la sortie verbose modules vers $RUNNER_TEMP/gomod.log ou équivalent ; filtrer les jetons bearer avant upload.
• Seuils d’escalade. Alerter lorsque deux cycles de sonde consécutifs échouent à cinq minutes d’intervalle, ou lorsque go mod download épuise deux rotations complètes de chaîne dans un même job.

La sonde ci-dessous considère que le chemin TCP/TLS fonctionne lorsque la requête aboutit sans timeout ; adaptez le chemin d’exemple à votre fournisseur de miroir. Le backoff suit 2s, 4s, 8s avec trois essais par URL — environ vingt-cinq secondes pire cas par saut, souvent moins cher qu’un job CI rouge entier.

#!/usr/bin/env bash
set -euo pipefail
# goproxy-probe.sh — renvoie la première base URL saine ou exit 1
CANDIDATES=(
  "https://corp-go.example.com"
  "https://goproxy.cn"
  "https://proxy.golang.org"
)
probe_one() {
  local url="$1" attempt=1 delay=2
  while [[ $attempt -le 3 ]]; do
    if curl -fsS --connect-timeout 8 --max-time 20 -o /dev/null \
        "$url/github.com/golang/glog/@v/v1.2.0.info" \
        || curl -fsS --connect-timeout 8 --max-time 20 -o /dev/null "$url/"; then
      echo "$url"
      return 0
    fi
    sleep "$delay"
    delay=$(( delay * 2 ))
    attempt=$(( attempt + 1 ))
  done
  return 1
}
for c in "${CANDIDATES[@]}"; do
  if base=$(probe_one "$c"); then
    echo "GOPROXY_PRIMARY=$base"
    exit 0
  fi
done
echo "all GOPROXY candidates failed" >&2
exit 1

Esquisse de wrapper : résoudre GOPROXY_PRIMARY, exporter GOPROXY="$GOPROXY_PRIMARY,https://proxy.golang.org,direct" (ajustez selon la politique), lancer go mod download ; en cas d’échec afficher go env -json filtré par jq si disponible, puis une seconde chaîne ; arrêter après deux rotations complètes.

#!/usr/bin/env bash
set -euo pipefail
LOG="${RUNNER_TEMP:-/tmp}/gomod-$(date +%s).log"
export GOPROXY="$(./goproxy-probe.sh | sed -n 's/^GOPROXY_PRIMARY=//p'),https://proxy.golang.org,direct"
echo "Using GOPROXY=$GOPROXY" | tee -a "$LOG"
if ! go mod download -x 2>&1 | tee -a "$LOG"; then
  export GOPROXY="https://proxy.golang.org,direct"
  echo "Fallback GOPROXY=$GOPROXY" | tee -a "$LOG"
  go mod download -x 2>&1 | tee -a "$LOG"
fi

if [[ -n "${GITHUB_STEP_SUMMARY:-}" ]]; then
  {
    echo "### go mod fetch"
    echo '```'
    tail -n 40 "$LOG"
    echo '```'
  } >> "$GITHUB_STEP_SUMMARY"
fi

L’automatisation ne remplace pas la politique : alignez GOPRIVATE et GONOPROXY sur la conformité avant d’élargir les chaînes publiques. L’article matrice lié en tête détaille ces paires.

Traitez GOPROXY comme toute dépendance capricieuse : sondez avec des timeouts, retry avec backoff plafonné, exportez la chaîne gagnante dans le même contexte d’exécution que go mod download, et remontez la preuve vers la CI. Posez le tout sur une baseline OpenClaw propre pour que l’automatisation et les builds partagent un profil d’hôte prévisible.