前两篇把CentOS 7这台老机器从裸系统一路带到了依赖基本就绪的状态这篇终于轮到真正的安装环节了。openclaw的整个部署流程说穿了不复杂无非是下载源码、补依赖、编译、配置、启动但我在不同机器上装过几次之后发现坑几乎全藏在细节里同一个版本在一个环境里三分钟跑完换到另一台机器能折腾你一整天。这篇文章就按照我实际操作顺序来写从源码获取、编译安装、配置联动一直到启动验证和常见排障尽量把你可能踩的坑提前讲清楚。这篇内容适合谁如果你手里正好有一台CentOS 7的服务器或者只是想把这套AI应用服务在本地老机器上跑起来那可以直接照着操作。我会把每条命令、每个路径、每个参数为什么这么设置都说明白而不是丢给你一串“复制就能用”的咒语。毕竟部署这件事理解了原理遇到报错才能少走弯路。1. 开工前先复盘这个阶段我们要解决什么问题1.1 前两篇完成的准备工作按照系列前两篇的节奏现在应该已经站在“依赖基本就绪、源码可以下载”的节点上了。为了不让这篇又臭又长我假设你已经完成了下面几件事CentOS 7做了最小化安装网络配置正常能访问软件源和官方下载渠道基础工具已经装好wget、tar、git、vim这些日常操作离不开的命令缺失的话直接用yum补上系统软件源可用性确认过yum update没有报错系统时间做过同步chronyd在正常跑千万别小看最后一条。编译过程中源码包的时间戳、签名校验、证书校验都依赖准确的系统时间。我在一台时间偏了好几个小时的机器上装东西openssl初始化直接报证书过期浪费了半天才反应过来是系统时间的问题。如果你前两篇还没做时间同步现在立刻补上也不迟。1.2 本次安装的整体流程与版本规划这次要走的流程可以分成五段源码准备、依赖补齐、编译安装、配置联动、启动验证。说白了就两件事把程序文件放到正确的位置然后让操作系统学会管理它。很多人在第二件事上栽跟头——程序明明装好了但因为没有写systemd服务、没有配日志目录只要重启一次服务就像没存在过一样。版本规划方面我的做法是装之前先明确三件事程序装在哪、数据放哪、日志写哪。建议不要用系统默认路径而是把主程序放到/opt/openclaw数据放到/var/lib/openclaw日志放到/var/log/openclaw。这个项目版本更新比较频繁独立目录方便整目录替换备份和迁移也省心tar一下整个父目录就能带走。我见过不少人图省事直接默认安装等要升级的时候才发现新旧文件混在一起根本没法清理。1.3 用户与权限别用root直接跑服务很多人在本机测试的时候图省事直接root用户启动服务结果后面改配置、调权限的时候各种乱。我的习惯是先创建一个专用的系统用户比如openclaw用这个用户来跑服务。useradd -r -s /sbin/nologin openclaw创建之后把上面三个目录的所有权交给它mkdir -p /opt/openclaw /var/lib/openclaw /var/log/openclaw chown -R openclaw:openclaw /opt/openclaw /var/lib/openclaw /var/log/openclaw用独立用户跑服务的好处是即使程序被利用攻击者拿到的也只是一个无权限的系统账户而不是root。这个习惯不管部署什么开源AI应用都值得保留。后边的systemd配置也是基于这个用户来写的先把地基打好后面会顺很多。2. 依赖链的最后一公里编译环境和运行库补齐2.1 核心依赖清单与检查顺序源码安装最常见的翻车点不是安装过程本身而是编译到一半才发现缺了某个开发库。所以我的惯例是拿到源码之后先读它的安装文档和依赖清单再对照系统检查一遍而不是直接敲编译命令。以openclaw这个项目在当前环境里的实际依赖来看下面这几类是基本跑不掉的依赖类别典型软件包主要用途检查命令编译工具链gcc、gcc-c、makeC/C源码编译链接gcc --version、make --version构建系统cmake 或 autoconf跨平台构建配置cmake --version加密组件openssl-develTLS通信、证书处理openssl version压缩库zlib-devel数据压缩与解压rpm -q zlib-devel动态库工具glibc-devel程序链接与运行rpm -q glibc-devel检查命令不是随便敲一下看有没有装就行要重点看版本号。CentOS 7系统自带的gcc是4.8.5很多新项目要求至少5.x甚至更高版本。如果编译时出现“unrecognized command line option”或者一堆诡异的模板报错八成就是编译器版本太老。这时候别硬着头皮改编译参数老老实实升级工具链才是正道。2.2 版本不够怎么办编译一个新版工具链CentOS 7的老编译器问题我的解决方案是装一个独立的较新版本工具链不覆盖系统自带的版本。以gcc为例手动编译一套到/opt目录下具体版本号以项目要求为准这里用占位符表示cd /opt/src wget 官方下载地址/gcc-版本号.tar.gz tar xzf gcc-版本号.tar.gz cd gcc-版本号 ./contrib/download_prerequisites mkdir build cd build ../configure --prefix/opt/newtool --disable-multilib --enable-languagesc,c make -j$(nproc) make install编译gcc比较耗时内存小的机器建议用make -j2而不是-j8否则编译到一半系统卡死反而更慢。装完之后不要急着删除系统自带的gcc把新版本路径放到PATH最前面即可echo export PATH/opt/newtool/bin:$PATH /etc/profile.d/newtool.sh source /etc/profile.d/newtool.sh类似的逻辑也适用于Python、Node.js这类运行时。很多AI应用对版本有硬性要求CentOS 7自带的Python 2.7基本跑不动。优先看官方有没有提供静态编译的二进制包如果有就直接下载解压到/opt没有的话再走源码编译的路子编译时记得加--prefix/opt/python-x.x把版本隔离在独立目录里方便以后切换。2.3 动态库路径编译过了但运行时报错编译通过只是第一步运行时报“error while loading shared libraries”的人我见得太多了。原因很简单程序依赖的动态库不在系统的默认查找路径里。解决方法是把自定义库路径写进ld.so.confecho /opt/newtool/lib64 /etc/ld.so.conf.d/newtool.conf ldconfig如果程序是个人项目不方便改系统配置也可以用LD_LIBRARY_PATH环境变量临时指定。但这个变量只对当前shell生效写进systemd服务文件时千万别忘了继承。这一小节要提防一个隐蔽问题多个版本的同一个库共存时ldconfig会按照配置文件顺序决定优先级。如果旧库在前面新装的程序就会加载到旧版本出现符号找不到的诡异报错。排查时用ldd命令看实际链接了哪个库能少走很多弯路。3. 核心程序安装源码获取、编译选参、目录落盘3.1 下载与完整性校验openclaw的源码我一般从它官方的发布渠道获取要么git clone仓库要么下载release的tar.gz包。两者各有利弊git clone拿到的永远是最新主分支代码适合尝鲜但可能不稳定release包是官方的稳定构建适合部署。生产环境我建议用release包。mkdir -p /opt/src cd /opt/src git clone 官方仓库地址 openclaw cd openclaw git checkout 稳定版本标签不管用哪种方式拿到源码之后做一步完整性校验检查项目提供的SHA256校验和是否一致。这一步不是强迫症而是防止下载过程丢包或者中途被替换。如果服务器内存比较小校验失败的概率虽然不高但一旦遇到多半是文件没下全。顺便说一句git clone的仓库不要放在/opt/openclaw下面而是放在/opt/src当作构建目录。程序要安装的目标目录和源码目录分开以后升级时直接删掉源码目录重建完全不影响运行中的服务。3.2 编译参数怎么选、为什么这么选源码准备好之后就到了编译环节。openclaw用的是CMake构建系统典型流程是先建一个单独的build目录在目录里执行cmake配置再make编译mkdir -p build cd build cmake .. -DCMAKE_INSTALL_PREFIX/opt/openclaw \ -DCMAKE_BUILD_TYPERelease \ -DOPENCLAW_DATA_DIR/var/lib/openclaw \ -DOPENCLAW_LOG_DIR/var/log/openclaw这里解释一下几个关键参数不能光顾着执行CMAKE_INSTALL_PREFIX指定安装目录。默认是/usr/local我们这里单独指到/opt/openclaw原因前面说过版本更新和备份都方便卸载的时候直接删目录就行。CMAKE_BUILD_TYPERelease表示编译时开启优化。Debug版本适合调试但性能差、体积大生产环境别用。数据目录和日志目录参数把运行时数据的落盘位置提前指定好避免启动后散落在当前目录后面清理和扩容都麻烦。配置完成后开始编译make -j4-j参数控制并行编译任务数。经验公式是内存够大就开物理核心数内存小于2GB最好老老实实make -j1或-j2。我在一台1GB内存的机器上试过-j8系统直接卡到连SSH都断。编译过程如果报错不要急着重开一遍先看最后几十行日志。错误原因一般集中在缺头文件、编译器版本不支持语法、库版本冲突这几类看清楚再动手。编译通过之后安装make install执行完可以再确认一下安装结果看看/opt/openclaw下面的目录结构是否完整bin、lib、share这些关键目录都在不在。3.3 安装后的目录结构与验证安装完成后我习惯先摸一遍目录结构确认程序文件都落到了正确位置。布局大致是这样/opt/openclaw/ ├── bin/ # 可执行文件 ├── lib/ # 运行库文件 ├── share/ # 文档、默认配置模板 └── config/ # 配置文件安装时生成看到bin目录里的主程序后可以先手动执行一下版本命令验证程序本身能跑/opt/openclaw/bin/openclaw --version如果能正常输出版本号说明依赖库链接没有大问题可以进入配置阶段。如果这里直接报错大概率就是上一节说的动态库路径问题回过去用ldd检查一遍别急着往下走。4. 配置与系统联动权限、启动、日志一个都不能少4.1 主配置文件的必改项程序能跑之后接下来就是让它“按规矩办事”。openclaw安装完成后会生成一份默认配置文件一般放在config目录下。我安装的这个版本配置文件是openclaw.conf不同版本字段名可能略有差异但下面这几个核心项基本都有配置项推荐值说明listen_address127.0.0.1监听地址默认建议只监听本机listen_port8080HTTP服务端口按需修改data_dir/var/lib/openclaw运行时数据目录log_dir/var/log/openclaw日志目录log_levelinfo日志级别调试时改debugrun_useropenclaw运行用户这里面最容易踩坑的就是listen_address。很多教程直接让你填0.0.0.0意思是所有网卡都监听但带来的问题是服务直接暴露在网络上如果程序本身有漏洞等于把大门敞开。我的习惯是默认只监听127.0.0.1真正需要对外提供访问的时候再用防火墙规则单独放行或者在前置的转发层做控制而不是无脑让程序裸奔。配置文件的格式一般是常见的键值对结构修改前先备份一份原始文件这个习惯能救你很多次。改完配置可以用自带的检查命令或者重启服务来验证格式别让一个小语法错误耽误十分钟。4.2 systemd服务单元让程序学会自己活下来手动启动程序很简单./openclaw就能跑但这样终端一关服务就没了。正确做法是写一个systemd服务单元让系统来管理它的生命周期。在/etc/systemd/system/openclaw.service里写入[Unit] Descriptionopenclaw AI Application Service Afternetwork.target [Service] Typesimple Useropenclaw Groupopenclaw WorkingDirectory/opt/openclaw EnvironmentFile/etc/openclaw/openclaw.env ExecStart/opt/openclaw/bin/openclaw --config /opt/openclaw/config/openclaw.conf Restarton-failure RestartSec5 LimitNOFILE65535 [Install] WantedBymulti-user.target几个关键参数我说一下。Restarton-failure的意思是程序异常退出时自动拉起配合RestartSec5程序崩了5秒后重启不用人工干预。LimitNOFILE调高文件描述符上限因为AI应用跑起来之后往往要开很多连接和文件句柄系统默认的1024很容易不够用。这里特别注意EnvironmentFile。如果之前设置了LD_LIBRARY_PATH这类环境变量最好写到环境文件里让systemd启动时能继承到。直接在ExecStart前面加env命令也可以但可读性差不如单独写个环境文件干净。写好之后执行systemctl daemon-reload systemctl enable openclaw systemctl start openclawenable是设置开机自启start是立即启动两个都要执行。很多人只记得start结果服务器一重启服务又不见了回头还跑来问为什么。4.3 日志轮转防止日志把磁盘写满服务跑起来之后日志文件会越来越大。如果不做轮转几个月后一个日志文件占满磁盘服务自己把自己弄死这种事故我见过不止一次。CentOS 7自带的logrotate可以轻松搞定cat /etc/logrotate.d/openclaw EOF /var/log/openclaw/*.log { daily rotate 7 compress delaycompress missingok notifempty copytruncate } EOF这个配置的意思是日志每天切割一次保留最近7份历史日志压缩存放。copytruncate是配合程序不重新打开日志文件的情况直接复制当前日志再清空原文件很多服务都用这个方式。注意目录权限要保证openclaw用户可写一般用chown -R openclaw:openclaw /var/log/openclaw即可。日志轮转配置好之后可以用logrotate -d /etc/logrotate.d/openclaw做一次模拟执行看看有没有语法错误。5. 启动验证与排障跑起来并不等于装好了5.1 一份标准的验证链路服务启动之后不能看到running就宣布完工我一般按下面的链路完整走一遍哪一步不对就停在哪一步排查# 1. 查看服务状态 systemctl status openclaw # 2. 查看最近日志确认没有报错 journalctl -u openclaw -n 50 --no-pager # 3. 检查进程是否真实存在 ps aux | grep openclaw # 4. 验证本机端口是否监听 ss -lntp | grep 8080 # 5. 测试接口是否响应 curl -I http://127.0.0.1:8080/health每一步的目的不一样。systemctl status看的是服务管理器的视角ps看的是系统进程ss看的是网络层curl看的是应用层。四层都通了才算真正装好。很多新手只看到systemctl status显示active就以为万事大吉结果curl什么都连不上典型的应用启动失败但进程还挂着需要结合日志判断。5.2 常见启动失败对照表时间久了你会发现启动失败的原因来来回回就那么几个。我整理了一张对照表按概率排序现象最可能原因排查命令服务启动后秒退配置文件路径或格式错误journalctl -u openclaw -x端口无法监听SELinux拦截或端口被占用ss -lntp、audit2why日志目录不可写目录权限不对ls -ld /var/log/openclaw动态库找不到自定义库路径没配置ldd /opt/openclaw/bin/openclaw进程在但curl不通监听地址填写错误ss -lntp 对比配置秒退这个问题最容易迷惑人。systemd里设置Restarton-failure之后程序崩了会自动拉起来表现出来就是服务状态反复闪烁systemctl status看着像在一个循环里。遇到这种情况直接看journalctl输出的最后几行原因就在里面。千万别反复start那样只会让日志滚得更长。5.3 防火墙规则别把所有端口都露在外面CentOS 7默认防火墙是firewalld如果你确认服务监听正常但外部还是访问不了多半是防火墙没放行。放行端口时有个原则能指定来源就指定来源宁窄勿宽。# 只允许特定IP段访问8080端口 firewall-cmd --permanent --add-rich-rulerule familyipv4 source address192.168.1.0/24 port protocoltcp port8080 accept firewall-cmd --reload如果没有来源限制的需求再考虑直接开放端口firewall-cmd --permanent --add-port8080/tcp firewall-cmd --reload这里想提醒一句防火墙规则宁少勿多每开一个端口就是多一个暴露面。如果服务只在内网用完全可以把监听地址保持127.0.0.1用前置机做内网转发而不是把8080直接暴露出去。6. 踩坑实录与检查清单6.1 三个印象深刻的坑第一个坑是gcc版本太老导致的编译失败。我在某台机器上编译openclaw时老是报“internal compiler error”开始还以为是源码问题后来才发现是系统自带gcc 4.8.5太老某些新语法特性支持不全。解决的方式就是本文第二节写的单独编译一个新版工具链到/opt不污染系统环境。从那以后我拿到新项目第一件事就是检查编译器版本而不是上来就make。第二个坑是SELinux拦截监听端口。服务自己启动正常日志也没有报错但外部就是不监听。后来用ausearch查SELinux审计日志才发现是SELinux阻止了进程绑定非标准端口。临时测试用setenforce 0可以放行但正规做法是给服务写一个SELinux策略模块或者使用semanage把端口加入放行列表不要图省事直接关SELinux。第三个坑是日志目录权限不足导致启动即退。当时我在配置里把日志目录指向了/var/log/openclaw但忘记chown结果服务启动时无法写入日志直接退出。这个错误本身很好查journalctl里就有明确报错但因为它太简单我反而排查了很久才反应过来。后来我不管装什么服务建完目录先chown三条命令写成习惯再也遇到过这种问题。6.2 给后来者的检查清单最后把我实践下来最实用的检查项列一下按顺序走完基本不会出大问题确认gcc、cmake等工具链版本满足项目要求编译前读一遍官方安装文档对照依赖清单逐一检查安装目录、数据目录、日志目录三者分离不要用root直接跑服务创建专用系统用户编译参数里的数据目录、日志目录提前指定systemd服务里写清User、Restart、LimitNOFILE日志轮转配置好防止磁盘写满启动后用systemctl、ss、curl三层验证不只是看服务状态防火墙按来源限制开端口别一把梭全放行所有配置修改前先备份养成回滚的习惯我个人操作时还有个不算技巧的技巧每装完一个服务把完整的安装命令和踩坑记录写进一个markdown文件存到服务器自己的某个目录里。隔几个月要迁移或者重装系统的时候这份记录比任何博客都靠谱因为它是你自己环境里验证过的。这次装openclaw也一样前两篇加这一篇完整复制一份到自己笔记里下次就能照着流水线操作不用再临时翻文章了。 
长河君 · 2026/10/16 10:33:58 · 阅读 1.2k CentOS 7 源码编译部署openclaw：依赖、systemd与排障实战
前两篇把CentOS 7这台老机器从裸系统一路带到了依赖基本就绪的状态这篇终于轮到真正的安装环节了。openclaw的整个部署流程说穿了不复杂无非是下载源码、补依赖、编译、配置、启动但我在不同机器上装过几次之后发现坑几乎全藏在细节里同一个版本在一个环境里三分钟跑完换到另一台机器能折腾你一整天。这篇文章就按照我实际操作顺序来写从源码获取、编译安装、配置联动一直到启动验证和常见排障尽量把你可能踩的坑提前讲清楚。这篇内容适合谁如果你手里正好有一台CentOS 7的服务器或者只是想把这套AI应用服务在本地老机器上跑起来那可以直接照着操作。我会把每条命令、每个路径、每个参数为什么这么设置都说明白而不是丢给你一串“复制就能用”的咒语。毕竟部署这件事理解了原理遇到报错才能少走弯路。1. 开工前先复盘这个阶段我们要解决什么问题1.1 前两篇完成的准备工作按照系列前两篇的节奏现在应该已经站在“依赖基本就绪、源码可以下载”的节点上了。为了不让这篇又臭又长我假设你已经完成了下面几件事CentOS 7做了最小化安装网络配置正常能访问软件源和官方下载渠道基础工具已经装好wget、tar、git、vim这些日常操作离不开的命令缺失的话直接用yum补上系统软件源可用性确认过yum update没有报错系统时间做过同步chronyd在正常跑千万别小看最后一条。编译过程中源码包的时间戳、签名校验、证书校验都依赖准确的系统时间。我在一台时间偏了好几个小时的机器上装东西openssl初始化直接报证书过期浪费了半天才反应过来是系统时间的问题。如果你前两篇还没做时间同步现在立刻补上也不迟。1.2 本次安装的整体流程与版本规划这次要走的流程可以分成五段源码准备、依赖补齐、编译安装、配置联动、启动验证。说白了就两件事把程序文件放到正确的位置然后让操作系统学会管理它。很多人在第二件事上栽跟头——程序明明装好了但因为没有写systemd服务、没有配日志目录只要重启一次服务就像没存在过一样。版本规划方面我的做法是装之前先明确三件事程序装在哪、数据放哪、日志写哪。建议不要用系统默认路径而是把主程序放到/opt/openclaw数据放到/var/lib/openclaw日志放到/var/log/openclaw。这个项目版本更新比较频繁独立目录方便整目录替换备份和迁移也省心tar一下整个父目录就能带走。我见过不少人图省事直接默认安装等要升级的时候才发现新旧文件混在一起根本没法清理。1.3 用户与权限别用root直接跑服务很多人在本机测试的时候图省事直接root用户启动服务结果后面改配置、调权限的时候各种乱。我的习惯是先创建一个专用的系统用户比如openclaw用这个用户来跑服务。useradd -r -s /sbin/nologin openclaw创建之后把上面三个目录的所有权交给它mkdir -p /opt/openclaw /var/lib/openclaw /var/log/openclaw chown -R openclaw:openclaw /opt/openclaw /var/lib/openclaw /var/log/openclaw用独立用户跑服务的好处是即使程序被利用攻击者拿到的也只是一个无权限的系统账户而不是root。这个习惯不管部署什么开源AI应用都值得保留。后边的systemd配置也是基于这个用户来写的先把地基打好后面会顺很多。2. 依赖链的最后一公里编译环境和运行库补齐2.1 核心依赖清单与检查顺序源码安装最常见的翻车点不是安装过程本身而是编译到一半才发现缺了某个开发库。所以我的惯例是拿到源码之后先读它的安装文档和依赖清单再对照系统检查一遍而不是直接敲编译命令。以openclaw这个项目在当前环境里的实际依赖来看下面这几类是基本跑不掉的依赖类别典型软件包主要用途检查命令编译工具链gcc、gcc-c、makeC/C源码编译链接gcc --version、make --version构建系统cmake 或 autoconf跨平台构建配置cmake --version加密组件openssl-develTLS通信、证书处理openssl version压缩库zlib-devel数据压缩与解压rpm -q zlib-devel动态库工具glibc-devel程序链接与运行rpm -q glibc-devel检查命令不是随便敲一下看有没有装就行要重点看版本号。CentOS 7系统自带的gcc是4.8.5很多新项目要求至少5.x甚至更高版本。如果编译时出现“unrecognized command line option”或者一堆诡异的模板报错八成就是编译器版本太老。这时候别硬着头皮改编译参数老老实实升级工具链才是正道。2.2 版本不够怎么办编译一个新版工具链CentOS 7的老编译器问题我的解决方案是装一个独立的较新版本工具链不覆盖系统自带的版本。以gcc为例手动编译一套到/opt目录下具体版本号以项目要求为准这里用占位符表示cd /opt/src wget 官方下载地址/gcc-版本号.tar.gz tar xzf gcc-版本号.tar.gz cd gcc-版本号 ./contrib/download_prerequisites mkdir build cd build ../configure --prefix/opt/newtool --disable-multilib --enable-languagesc,c make -j$(nproc) make install编译gcc比较耗时内存小的机器建议用make -j2而不是-j8否则编译到一半系统卡死反而更慢。装完之后不要急着删除系统自带的gcc把新版本路径放到PATH最前面即可echo export PATH/opt/newtool/bin:$PATH /etc/profile.d/newtool.sh source /etc/profile.d/newtool.sh类似的逻辑也适用于Python、Node.js这类运行时。很多AI应用对版本有硬性要求CentOS 7自带的Python 2.7基本跑不动。优先看官方有没有提供静态编译的二进制包如果有就直接下载解压到/opt没有的话再走源码编译的路子编译时记得加--prefix/opt/python-x.x把版本隔离在独立目录里方便以后切换。2.3 动态库路径编译过了但运行时报错编译通过只是第一步运行时报“error while loading shared libraries”的人我见得太多了。原因很简单程序依赖的动态库不在系统的默认查找路径里。解决方法是把自定义库路径写进ld.so.confecho /opt/newtool/lib64 /etc/ld.so.conf.d/newtool.conf ldconfig如果程序是个人项目不方便改系统配置也可以用LD_LIBRARY_PATH环境变量临时指定。但这个变量只对当前shell生效写进systemd服务文件时千万别忘了继承。这一小节要提防一个隐蔽问题多个版本的同一个库共存时ldconfig会按照配置文件顺序决定优先级。如果旧库在前面新装的程序就会加载到旧版本出现符号找不到的诡异报错。排查时用ldd命令看实际链接了哪个库能少走很多弯路。3. 核心程序安装源码获取、编译选参、目录落盘3.1 下载与完整性校验openclaw的源码我一般从它官方的发布渠道获取要么git clone仓库要么下载release的tar.gz包。两者各有利弊git clone拿到的永远是最新主分支代码适合尝鲜但可能不稳定release包是官方的稳定构建适合部署。生产环境我建议用release包。mkdir -p /opt/src cd /opt/src git clone 官方仓库地址 openclaw cd openclaw git checkout 稳定版本标签不管用哪种方式拿到源码之后做一步完整性校验检查项目提供的SHA256校验和是否一致。这一步不是强迫症而是防止下载过程丢包或者中途被替换。如果服务器内存比较小校验失败的概率虽然不高但一旦遇到多半是文件没下全。顺便说一句git clone的仓库不要放在/opt/openclaw下面而是放在/opt/src当作构建目录。程序要安装的目标目录和源码目录分开以后升级时直接删掉源码目录重建完全不影响运行中的服务。3.2 编译参数怎么选、为什么这么选源码准备好之后就到了编译环节。openclaw用的是CMake构建系统典型流程是先建一个单独的build目录在目录里执行cmake配置再make编译mkdir -p build cd build cmake .. -DCMAKE_INSTALL_PREFIX/opt/openclaw \ -DCMAKE_BUILD_TYPERelease \ -DOPENCLAW_DATA_DIR/var/lib/openclaw \ -DOPENCLAW_LOG_DIR/var/log/openclaw这里解释一下几个关键参数不能光顾着执行CMAKE_INSTALL_PREFIX指定安装目录。默认是/usr/local我们这里单独指到/opt/openclaw原因前面说过版本更新和备份都方便卸载的时候直接删目录就行。CMAKE_BUILD_TYPERelease表示编译时开启优化。Debug版本适合调试但性能差、体积大生产环境别用。数据目录和日志目录参数把运行时数据的落盘位置提前指定好避免启动后散落在当前目录后面清理和扩容都麻烦。配置完成后开始编译make -j4-j参数控制并行编译任务数。经验公式是内存够大就开物理核心数内存小于2GB最好老老实实make -j1或-j2。我在一台1GB内存的机器上试过-j8系统直接卡到连SSH都断。编译过程如果报错不要急着重开一遍先看最后几十行日志。错误原因一般集中在缺头文件、编译器版本不支持语法、库版本冲突这几类看清楚再动手。编译通过之后安装make install执行完可以再确认一下安装结果看看/opt/openclaw下面的目录结构是否完整bin、lib、share这些关键目录都在不在。3.3 安装后的目录结构与验证安装完成后我习惯先摸一遍目录结构确认程序文件都落到了正确位置。布局大致是这样/opt/openclaw/ ├── bin/ # 可执行文件 ├── lib/ # 运行库文件 ├── share/ # 文档、默认配置模板 └── config/ # 配置文件安装时生成看到bin目录里的主程序后可以先手动执行一下版本命令验证程序本身能跑/opt/openclaw/bin/openclaw --version如果能正常输出版本号说明依赖库链接没有大问题可以进入配置阶段。如果这里直接报错大概率就是上一节说的动态库路径问题回过去用ldd检查一遍别急着往下走。4. 配置与系统联动权限、启动、日志一个都不能少4.1 主配置文件的必改项程序能跑之后接下来就是让它“按规矩办事”。openclaw安装完成后会生成一份默认配置文件一般放在config目录下。我安装的这个版本配置文件是openclaw.conf不同版本字段名可能略有差异但下面这几个核心项基本都有配置项推荐值说明listen_address127.0.0.1监听地址默认建议只监听本机listen_port8080HTTP服务端口按需修改data_dir/var/lib/openclaw运行时数据目录log_dir/var/log/openclaw日志目录log_levelinfo日志级别调试时改debugrun_useropenclaw运行用户这里面最容易踩坑的就是listen_address。很多教程直接让你填0.0.0.0意思是所有网卡都监听但带来的问题是服务直接暴露在网络上如果程序本身有漏洞等于把大门敞开。我的习惯是默认只监听127.0.0.1真正需要对外提供访问的时候再用防火墙规则单独放行或者在前置的转发层做控制而不是无脑让程序裸奔。配置文件的格式一般是常见的键值对结构修改前先备份一份原始文件这个习惯能救你很多次。改完配置可以用自带的检查命令或者重启服务来验证格式别让一个小语法错误耽误十分钟。4.2 systemd服务单元让程序学会自己活下来手动启动程序很简单./openclaw就能跑但这样终端一关服务就没了。正确做法是写一个systemd服务单元让系统来管理它的生命周期。在/etc/systemd/system/openclaw.service里写入[Unit] Descriptionopenclaw AI Application Service Afternetwork.target [Service] Typesimple Useropenclaw Groupopenclaw WorkingDirectory/opt/openclaw EnvironmentFile/etc/openclaw/openclaw.env ExecStart/opt/openclaw/bin/openclaw --config /opt/openclaw/config/openclaw.conf Restarton-failure RestartSec5 LimitNOFILE65535 [Install] WantedBymulti-user.target几个关键参数我说一下。Restarton-failure的意思是程序异常退出时自动拉起配合RestartSec5程序崩了5秒后重启不用人工干预。LimitNOFILE调高文件描述符上限因为AI应用跑起来之后往往要开很多连接和文件句柄系统默认的1024很容易不够用。这里特别注意EnvironmentFile。如果之前设置了LD_LIBRARY_PATH这类环境变量最好写到环境文件里让systemd启动时能继承到。直接在ExecStart前面加env命令也可以但可读性差不如单独写个环境文件干净。写好之后执行systemctl daemon-reload systemctl enable openclaw systemctl start openclawenable是设置开机自启start是立即启动两个都要执行。很多人只记得start结果服务器一重启服务又不见了回头还跑来问为什么。4.3 日志轮转防止日志把磁盘写满服务跑起来之后日志文件会越来越大。如果不做轮转几个月后一个日志文件占满磁盘服务自己把自己弄死这种事故我见过不止一次。CentOS 7自带的logrotate可以轻松搞定cat /etc/logrotate.d/openclaw EOF /var/log/openclaw/*.log { daily rotate 7 compress delaycompress missingok notifempty copytruncate } EOF这个配置的意思是日志每天切割一次保留最近7份历史日志压缩存放。copytruncate是配合程序不重新打开日志文件的情况直接复制当前日志再清空原文件很多服务都用这个方式。注意目录权限要保证openclaw用户可写一般用chown -R openclaw:openclaw /var/log/openclaw即可。日志轮转配置好之后可以用logrotate -d /etc/logrotate.d/openclaw做一次模拟执行看看有没有语法错误。5. 启动验证与排障跑起来并不等于装好了5.1 一份标准的验证链路服务启动之后不能看到running就宣布完工我一般按下面的链路完整走一遍哪一步不对就停在哪一步排查# 1. 查看服务状态 systemctl status openclaw # 2. 查看最近日志确认没有报错 journalctl -u openclaw -n 50 --no-pager # 3. 检查进程是否真实存在 ps aux | grep openclaw # 4. 验证本机端口是否监听 ss -lntp | grep 8080 # 5. 测试接口是否响应 curl -I http://127.0.0.1:8080/health每一步的目的不一样。systemctl status看的是服务管理器的视角ps看的是系统进程ss看的是网络层curl看的是应用层。四层都通了才算真正装好。很多新手只看到systemctl status显示active就以为万事大吉结果curl什么都连不上典型的应用启动失败但进程还挂着需要结合日志判断。5.2 常见启动失败对照表时间久了你会发现启动失败的原因来来回回就那么几个。我整理了一张对照表按概率排序现象最可能原因排查命令服务启动后秒退配置文件路径或格式错误journalctl -u openclaw -x端口无法监听SELinux拦截或端口被占用ss -lntp、audit2why日志目录不可写目录权限不对ls -ld /var/log/openclaw动态库找不到自定义库路径没配置ldd /opt/openclaw/bin/openclaw进程在但curl不通监听地址填写错误ss -lntp 对比配置秒退这个问题最容易迷惑人。systemd里设置Restarton-failure之后程序崩了会自动拉起来表现出来就是服务状态反复闪烁systemctl status看着像在一个循环里。遇到这种情况直接看journalctl输出的最后几行原因就在里面。千万别反复start那样只会让日志滚得更长。5.3 防火墙规则别把所有端口都露在外面CentOS 7默认防火墙是firewalld如果你确认服务监听正常但外部还是访问不了多半是防火墙没放行。放行端口时有个原则能指定来源就指定来源宁窄勿宽。# 只允许特定IP段访问8080端口 firewall-cmd --permanent --add-rich-rulerule familyipv4 source address192.168.1.0/24 port protocoltcp port8080 accept firewall-cmd --reload如果没有来源限制的需求再考虑直接开放端口firewall-cmd --permanent --add-port8080/tcp firewall-cmd --reload这里想提醒一句防火墙规则宁少勿多每开一个端口就是多一个暴露面。如果服务只在内网用完全可以把监听地址保持127.0.0.1用前置机做内网转发而不是把8080直接暴露出去。6. 踩坑实录与检查清单6.1 三个印象深刻的坑第一个坑是gcc版本太老导致的编译失败。我在某台机器上编译openclaw时老是报“internal compiler error”开始还以为是源码问题后来才发现是系统自带gcc 4.8.5太老某些新语法特性支持不全。解决的方式就是本文第二节写的单独编译一个新版工具链到/opt不污染系统环境。从那以后我拿到新项目第一件事就是检查编译器版本而不是上来就make。第二个坑是SELinux拦截监听端口。服务自己启动正常日志也没有报错但外部就是不监听。后来用ausearch查SELinux审计日志才发现是SELinux阻止了进程绑定非标准端口。临时测试用setenforce 0可以放行但正规做法是给服务写一个SELinux策略模块或者使用semanage把端口加入放行列表不要图省事直接关SELinux。第三个坑是日志目录权限不足导致启动即退。当时我在配置里把日志目录指向了/var/log/openclaw但忘记chown结果服务启动时无法写入日志直接退出。这个错误本身很好查journalctl里就有明确报错但因为它太简单我反而排查了很久才反应过来。后来我不管装什么服务建完目录先chown三条命令写成习惯再也遇到过这种问题。6.2 给后来者的检查清单最后把我实践下来最实用的检查项列一下按顺序走完基本不会出大问题确认gcc、cmake等工具链版本满足项目要求编译前读一遍官方安装文档对照依赖清单逐一检查安装目录、数据目录、日志目录三者分离不要用root直接跑服务创建专用系统用户编译参数里的数据目录、日志目录提前指定systemd服务里写清User、Restart、LimitNOFILE日志轮转配置好防止磁盘写满启动后用systemctl、ss、curl三层验证不只是看服务状态防火墙按来源限制开端口别一把梭全放行所有配置修改前先备份养成回滚的习惯我个人操作时还有个不算技巧的技巧每装完一个服务把完整的安装命令和踩坑记录写进一个markdown文件存到服务器自己的某个目录里。隔几个月要迁移或者重装系统的时候这份记录比任何博客都靠谱因为它是你自己环境里验证过的。这次装openclaw也一样前两篇加这一篇完整复制一份到自己笔记里下次就能照着流水线操作不用再临时翻文章了。