科学养虾的第一步：把它关到笼子里

Mon, 16 Mar 2026 00:00:00 +0000

01. 引言：Mac mini 成了“大虾缸”

最近 OpenClaw 的火爆程度堪比当年的酱香拿铁，圈内玩家人手一台 Mac mini，主打一个 24 小时在线“养虾”。

但随着热度上升，安全风险也浮出水面。很多玩家为了图省事，直接在自己的主账户下顺手一敲 sudo 运行。你要知道，OpenClaw 作为一个高度联网、且支持第三方插件的程序，直接给它主账号权限，等同于把家里的保险箱钥匙挂在路边电线杆上。万一代码里有个“回声”，你的私有照片、工作文档、浏览器缓存可就全成了“虾粮”。

科学养虾的第一法则：权限隔离。既然要养，就得给它焊个结实的笼子。

02. 笼子的构造：创建隔离用户

在 macOS 上，最简单有效的“笼子”就是创建一个独立的系统用户。

创建隔离组 (Group)

打开 “系统设置” -> “用户与群组”。

点击下方的 “添加群组…” (Add Group)。

将组名设置为 agents。这个组将作为你所有隔离程序的统一“安保边界”。

创建隔离用户 (User)

在同一页面，点击 “添加用户…” (Add User)。

关键：在“新用户”类型下拉框中选择 “标准”，千万不要选“管理员”。

帐户名填 openclaw。

创建完成后，你会发现系统已自动为它准备了一个干净的家目录 /Users/openclaw。

将用户归类

在列表里找到刚才创建的 agents 组，点击“i”图标（详情）。

在成员列表中，勾选上 openclaw。

物理隔离：这个用户拥有独立的家目录 /Users/openclaw。你的主目录（如 /Users/<YourUsername>/）对它来说默认是禁区。

在终端里，我们不需要切换 GUI 界面，直接通过 su 优雅地“跳”进笼子：

# 使用管理员身份切换到 openclaw 环境
sudo su - openclaw

03. 喂虾流程：部署中的“深水区”

在隔离环境里，我们依然追求极致的系统洁癖。

AI on arjenzhou

科学养虾的第一步：把它关到笼子里

01. 引言：Mac mini 成了“大虾缸”

02. 笼子的构造：创建隔离用户

03. 喂虾流程：部署中的“深水区”