2026 OpenClaw на практике: удалённый Mac, инъекция переменных окружения и слитый вывод CI-ворот (воспроизводимый HowTo)

Эфемерные минуты облака подходят для юнит-тестов; шлюз, который круглосуточно принимает webhooks и вызовы инструментов, нуждается в среде, которая не исчезает посреди TLS-handshake. Выделенный или долгоживущий удалённый Mac даёт предсказуемые пути APFS, стабильное пространство имён launchd и тот же профиль darwin_arm64, которому вы уже доверяете в разработке. Изоляция OPENCLAW_HOME на каждый job не даёт CI затереть «боевой» каталог шлюза, а один объединённый лог ворот превращается в нормальный аудит вместо разрозненных фрагментов stderr.

OpenClaw ориентируется на современный V8 и семантику npm; задайте нижнюю границу Node 22.14 LTS или Node 24 для установочных скриптов и глобального CLI. В начале каждого gate выводите node -v и npm config get prefix, чтобы быстро сравнивать «зелёные» и «красные» job.

Не переиспользуйте один домашний каталог для параллельных job. Задайте корень на прогон, например OPENCLAW_HOME="$RUNNER_TEMP/openclaw/$CI_JOB_ID" и OPENCLAW_CONFIG_HOME="$OPENCLAW_HOME/config", затем mkdir -p с правами 700. Репозиторий держите отдельно, чтобы git clean не снёс актуальный openclaw.json. В типовых шаблонах HTTP-слушатель по умолчанию остаётся на 127.0.0.1:18789 — зафиксируйте порт в заявках на firewall и в runbook. Именно этот порт чаще всего фигурирует в инцидентах «уже занято».

• Версия глобального openclaw совпадает с pin в npm install -g openclaw@….
• Имена секретов в CI совпадают со staging и production plist.
• На общих хостах остаётся запас диска под кеш установщика и tar-чекпойнты (ориентир — десятки гибибайт).

Интерактивный OpenClaw Installer в терминале обычно показывает баннер с логотипом (в духе «швейцарский нож с сильными мнениями»), определяет macos и печатает блок Install plan: ОС macos, метод npm, запрошенная версия latest — в CI всегда закрепляйте semver, а не latest. Типичная разбивка включает этап вроде [1/3] Preparing environment перед загрузкой CLI.

На «чистых» раннерах установщик может попытаться поставить Homebrew, если brew отсутствует. Если в логе появляется сообщение вроде «Installing Homebrew failed — re-run with --verbose for details», один раз соберите подробный лог, затем либо прошейте /opt/homebrew в golden-AMI, либо вынесите установку brew в отдельный prerequisite-job — так шаг OpenClaw останется детерминированным. Этот сценарий чаще красит пайплайны, чем сами проверки шлюза.

node -v
# Ожидайте v22.14.x+ или v24.x — иначе завершайте job с ошибкой
node -e 'const p=process.versions.node.split(".").map(Number);process.exit(p[0]>=24||(p[0]===22&&p[1]>=14)?0:1)' && echo "node ok"

npm install -g "openclaw@^2026.3.0"   # диапазон по политике безопасности
which openclaw
openclaw --version

Флаги меняются между минорными версиями; перед фиксацией YAML выполните на образе раннера openclaw onboard --help. Ниже — намерения, которые нужно сопоставить с реальными опциями вашего semver.

Раздельные потоки усложняют разбор: doctor часто пишет предупреждения в stderr, а config validate — пути в stdout. Склейте оба потока в один артефакт через tee, затем при необходимости ищите сигнатуры. Ниже — минимальный каркас; ужесточайте set -euo pipefail только после проверки, что ни одна команда не должна завершаться ненулём «по задумке».

#!/usr/bin/env bash
set -euo pipefail
export OPENCLAW_HOME="${OPENCLAW_HOME:-$RUNNER_TEMP/openclaw/$CI_JOB_ID}"
export OPENCLAW_CONFIG_HOME="${OPENCLAW_CONFIG_HOME:-$OPENCLAW_HOME/config}"
mkdir -p "$OPENCLAW_CONFIG_HOME"
LOG="${OPENCLAW_GATE_LOG:-openclaw-gate.log}"
rm -f "$LOG"

{
  echo "=== node ==="
  node -v
  echo "=== which openclaw ==="
  command -v openclaw
  echo "=== doctor ==="
  openclaw doctor
  echo "=== config validate ==="
  openclaw config validate --config "$OPENCLAW_CONFIG_HOME/openclaw.json"
} 2>&1 | tee "$LOG"

if grep -E 'EADDRINUSE|invalid-key|unauthorized|401' "$LOG"; then
  echo "Ворота: блокирующие сигнатуры в $LOG" >&2
  exit 1
fi

Вешайте скрипт отдельным job после установки зависимостей и до merge в основную ветвь, либо как обязательную проверку PR при изменении openclaw.json. Загружайте openclaw-gate.log как артефакт с той же политикой хранения, что и в гайде config validate CI gate.

Считайте вывод doctor структурированной прозой: ищите строки с FAIL, WARN и именами провайдеров, сопоставляйте с переменными окружения. После частичного onboard на общих раннерах не оставляйте «полуписаные» plist: перед риском сделайте tar czf openclaw-checkpoint.tgz -C "$OPENCLAW_HOME" . и сохраните shasum -a 256 в summary job.

Рецепт отката: launchctl bootout для метки, если в той же сессии ставили демон; восстановите дерево из tarball; снова загрузите plist; пауза 2 с; повторите объединённый скрипт ворот. Для согласованной терминологии отката skills см. skills rollback doctor.

Порт занят: старый шлюз или зависший процесс держит 18789. Команда lsof -nP -iTCP:18789 -sTCP:LISTEN, остановка PID или метки launchd, либо другой порт в JSON для изолированного smoke.

Другой openclaw в PATH: в интерактиве подключены nvm/Homebrew; у launchd короткий PATH. Используйте абсолютные пути в ProgramArguments или дублируйте префикс PATH из лога CI.

Токен есть в CI, нет в проде: секрет попал в job, но не в plist демона. Сверьте EnvironmentVariables, обновите атомарно и перезапустите один раз. Наружную поверхность и токены согласуйте с hardening шлюза.

Итоговый воспроизводимый контур: Node 22.14+ или 24, сценарий OpenClaw Installer (npm) на macOS с заранее решённым вопросом Homebrew, изоляция OPENCLAW_HOME на job, ключи из хранилища секретов, неинтерактивный onboard по актуальному --help и один файл со слитым выводом doctor и validate для единого решения «зелёный / красный». Когда нужны хосты Apple Silicon, которые не исчезают между вызовами и подходят и для 7×24 шлюза, и для ворот, откройте публичные страницы цены, покупка, центр помощи и консоль на MacPull; каталог блога — без входа.