2026 OpenClaw на практике: Harbor Webhook на удалённом Mac — предзагрузка образов, сводка сборки и исходящий белый список

Цели. При релевантном событии Harbor узел на macOS должен: (1) аутентифицировать webhook; (2) построить одну или несколько полных ссылок на образ registry/project/repo:tag или по digest; (3) выполнить предзагрузку с ограниченным параллелизмом и защитой диска; (4) отправить короткий JSON о успехе или структурированном сбое только на фиксированный набор исходящих адресов, чтобы оператору не открывать UI Harbor.

Предварительные условия. Проект Harbor с правом настройки webhook; HTTPS-вход (TLS на границе) с проксированием на слушатель OpenClaw (часто 127.0.0.1 плюс Caddy, nginx или SSH-туннель); работающий Docker Desktop или Colima с неинтерактивным docker login для вашего hostname реестра; робот-аккаунт или scoped-токен в файле с правами 600. Зафиксируйте ветку Node 22 LTS или ту, что указана в примечаниях к вашей версии OpenClaw; установка Node у многих команд по-прежнему следует через официальный или поставщика curl-инсталлятор либо менеджер версий — главное, чтобы openclaw doctor не ругался на рассинхрон путей.

Поднимите шлюз через openclaw onboard и, если поддерживается вашим пакетом, openclaw onboard --install-daemon, чтобы обработчик переживал перезагрузку под launchd. Добавьте отдельный LaunchAgent с curl к документированному маршруту здоровья — так вы ловите расхождение TLS, DNS и upstream до того, как Harbor начнёт слать реальные события. Оформите белый список исходящих: адреса реестра для pull, один-два URL для сводки (внутренний CI, шлюз API) и, при необходимости, список доверенных CIDR для входящих вызовов Harbor.

Harbor шлёт JSON-конверт с полем type (например PUSH_ARTIFACT, PULL_ARTIFACT, DELETE_ARTIFACT), временем occur_at, operator и объектом event_data с метаданными репозитория и артефакта. Для предзагрузки обычно нужны имя репозитория, тег или digest и при необходимости digest артефакта, чтобы не дублировать pull. Сохраните эталонный payload из вашей минорной версии Harbor в репозитории фикстур — имена полей иногда меняются между релизами.

Чеклист проверки (вставьте в шаблон PR). (1) Прочитайте сырое тело HTTP до JSON.parse. (2) Сравните секрет Harbor константным временем — отдельный заголовок, bearer или значение из query, как настроено в проекте. (3) Отклоните неверный Content-Type, если вы не поддерживаете альтернативы. (4) По желанию ограничьте окно свежести по occur_at против replay. (5) После успеха логируйте только репозиторий и digest, не секрет. (6) Если позже добавите HMAC, хэшируйте те же сырые байты, которые подписал Harbor; пересборка JSON прокси «для красоты» ломает подпись чаще всего.

После извлечения ссылок вызывайте небольшой shell-скрипт вместо десятков встроенных docker pull — проще менять лимиты без пересборки TypeScript. На общих Mac Mini в 2026 году разумны 2–4 параллельных pull, настенные часы на один pull от 6 до 15 минут в зависимости от слоёв и жёсткая остановка, если свободно меньше 15–25 ГБ на томе данных Docker.

Задайте переменные окружения в plist LaunchAgent: PREFETCH_CONCURRENCY, PULL_TIMEOUT_SEC, MIN_FREE_GB, опционально MAX_IMAGES_PER_EVENT, чтобы сбойный webhook не поставил в очередь сотни репозиториев. На macOS удобен xargs -P; учитывайте ограничения BSD xargs. После батча допишите одну строку JSON в файл, который шлюз читает для сводки.

#!/usr/bin/env bash
set -euo pipefail
: "${PREFETCH_CONCURRENCY:=3}"
: "${PULL_TIMEOUT_SEC:=600}"
: "${MIN_FREE_GB:=18}"
# macOS: df -g — блоки по 1 ГиБ (см. man df на раннере)
avail_gib="$(df -g / | awk 'NR==2 {print $4}')"
if [ "${avail_gib:-0}" -lt "${MIN_FREE_GB}" ]; then
  printf '{"prefetch":"skipped","reason":"disk_low","avail_gib":%s}\n' "${avail_gib}"
  exit 0
fi
printf '%s\n' "$@" | xargs -n1 -P"${PREFETCH_CONCURRENCY}" -IREF docker pull REF
# При необходимости оберните каждый pull в gtimeout из GNU coreutils

Комментарий с gtimeout замените на ваш вариант: обёртка на Python, отдельный процесс с alarm или настройки клиента. Держите таймаут исходящей сводки отдельно от таймаута Harbor на webhook: для последнего важнее быстрый ответ.

Заведите отдельный HTTPS-путь на интеграцию, например /hooks/harbor/v1, чтобы правила файрвола оставались узкими. Внутри обработчика после проверки type ставьте задачу предзагрузки в очередь и формируйте единый шаблон сводки при сбое, который downstream парсит без эвристик по тексту.

{
  "source": "harbor-webhook",
  "event_type": "PUSH_ARTIFACT",
  "repository": "acme/base-images/nodejs",
  "digest": "sha256:…",
  "prefetch": { "ok": false, "failed_image": "reg.example/acme/base-images/nodejs:20", "exit_code": 1, "log_tail": "…последние 400 символов…" },
  "host": "mac-ci-07",
  "duration_ms": 8420
}

Отправляйте объект только на хосты из конфигурации белого списка; неизвестные имена отсекайте до резолва DNS, если архитектура позволяет. Повторы при сетевых ошибках и 5xx — с паузами 2 / 4 / 8 с и curl --max-time 25 (или эквивалент), чтобы зависший приёмник не держал поток Harbor. Если политика безопасности разрешает, отвечайте Harbor 202 Accepted сразу после валидации и выполняйте тяжёлый pull в фоне.

Минимально воспроизводимая цепочка: проверка сырого JSON Harbor, предзагрузка с явными лимитами параллелизма и диска, маршрут OpenClaw с типизированной сводкой и исходящий трафик только по белому списку с ограниченными повторами. Так вы снижаете шум в CI и делаете Apple Silicon-раннер предсказуемым без превращения Mac в открытый ретранслятор.

Если нужен узел, который не засыпает, держит стабильный TLS и после перезагрузки поднимает те же метки launchd, рассмотрите аренду удалённого Mac у MacPull — публичные точки входа без обязательного входа: главная, покупка и конфигурации, центр помощи и каталог блога.