OpenClaw 新版本升级指南:ClawHub、Chrome MCP、安全加固

OpenClaw 又更新了。

从 3.8 到 3.22，两周时间，变更量不小。

这次升级有几个重点：ClawHub 集成、Chrome 扩展中继移除、安全加固。

如果你正在用 OpenClaw，升级前建议先看完这篇。

一、ClawHub：技能市场来了

这是最大的变化。

以前安装技能，要么从 npm 装，要么自己写。

现在有了 ClawHub——一个专门的技能市场。

# 搜索技能openclaw skills search <关键词># 安装技能openclaw skills install <技能名># 更新技能openclaw skills update <技能名>

插件安装也变了。

以前 openclaw plugins install xxx 默认走 npm。

现在优先查 ClawHub，找不到才回退 npm。

一句话：技能分发有了官方渠道。

二、Chrome 扩展中继：没了

这个改动比较硬。

Chrome 扩展中继（extension relay）被移除了。

如果你之前的浏览器配置是这样的：

browser.profiles.xxx.driver: "extension"browser.relayBindHost: "0.0.0.0"

升级后会失效。

替代方案有两个：

方案一：Chrome MCP

使用 Chrome DevTools MCP 连接已登录的浏览器。

browser.profiles.chrome: {  driver: "openclaw",  attachOnly: true}

然后在 Chrome 启动时加上远程调试参数：

google-chrome --remote-debugging-port=9222

方案二：existing-session 模式

browser.profiles.mychrome: {  driver: "openclaw",  userDataDir: "/path/to/chrome/profile"}

支持 Brave、Edge 等 Chromium 浏览器。

迁移命令：

openclaw doctor --fix

三、安全加固：几个关键点

这次安全相关的改动不少，挑几个重要的说。

1. Exec 环境变量封堵

以下环境变量被阻止注入：

MAVEN_OPTS
, SBT_OPTS, GRADLE_OPTS, ANT_OPTS
GLIBC_TUNABLES
DOTNET_ADDITIONAL_DEPS

为什么？

因为攻击者可以通过这些变量劫持构建工具的执行路径。

比如 MAVEN_OPTS 可以注入任意 JVM 参数。

2. Windows SMB 凭据泄露

阻止了 file:// 远程主机 URL 和 UNC 路径。

之前，一个精心构造的文件路径可能触发 Windows 向远程服务器发起 SMB 认证。

你的凭据就泄露了。

3. 配对代码重放

iOS 设置代码现在是单次使用的。

防止攻击者重放配对请求来提升权限。

四、新功能：值得关注的

`/btw` 命令

一个有趣的补充。

/btw 这个会话的主题是什么？

快速提问，不影响会话上下文。

适合那种「我就问一下，不想污染对话记录」的场景。

沙箱后端插件化

沙箱不再只是 Docker。

新增了：

OpenShell 后端
：支持 mirror 和 remote 工作区模式
SSH 沙箱后端
：远程执行，密钥/证书认证

新模型支持

OpenAI: gpt-5.4-mini, gpt-5.4-nano
MiniMax: M2.7, M2.7-highspeed
Anthropic Vertex: Claude via Google Vertex AI

五、升级清单

升级前，建议逐项检查：

备份配置

cp ~/.openclaw/openclaw.json ~/.openclaw/openclaw.json.bak

检查环境变量

# 查找旧命名env | grep -E "CLAWDBOT_|MOLTBOT_"

如有，改成 OPENCLAW_*。

检查状态目录

# 如果存在旧目录ls ~/.moltbot 2>/dev/null && mv ~/.moltbot ~/.openclaw

更新浏览器配置

openclaw doctor --fix

执行升级

openclaw update

验证

openclaw --versionopenclaw config validateopenclaw gateway restart

六、写在最后

这次更新的关键词是收敛。

移除 Chrome 扩展中继，统一到 Chrome MCP。

移除旧的环境变量命名，统一到 OPENCLAW_*。

移除旧的状态目录，统一到 ~/.openclaw。

收敛是为了走得更远。

ClawHub 的加入，让技能分发有了官方渠道。

安全加固，让生产环境更放心。

升级吧，但记得先备份。

参考链接

迁移指南: https://docs.openclaw.ai/install/migrating
Matrix 迁移: https://docs.openclaw.ai/install/migrating-matrix
插件 SDK: https://docs.openclaw.ai/plugins/sdk-overview
ClawHub: https://docs.openclaw.ai/tools/clawhub

— 完 —