Interfaccia utente di controllo

• Chatta con il modello tramite Gateway WS (chat.history, chat.send, chat.abort, chat.inject).
• Gli aggiornamenti della cronologia chat richiedono una finestra recente limitata con limiti di testo per messaggio, così le sessioni grandi non costringono il browser a renderizzare un payload completo della trascrizione prima che la chat diventi utilizzabile.
• Conversa tramite sessioni realtime del browser. OpenAI usa WebRTC diretto, Google Live usa un token browser monouso vincolato tramite WebSocket, e i plugin vocali realtime solo backend usano il trasporto relay del Gateway. Le sessioni provider possedute dal client iniziano con talk.client.create; le sessioni relay del Gateway iniziano con talk.session.create. Il relay mantiene le credenziali del provider sul Gateway mentre il browser trasmette PCM dal microfono tramite talk.session.appendAudio, inoltra le chiamate agli strumenti del provider openclaw_agent_consult tramite talk.client.toolCall per la policy del Gateway e il modello OpenClaw configurato più grande, e instrada la guida vocale dell'esecuzione attiva tramite talk.client.steer o talk.session.steer.
• Esegue lo streaming delle chiamate agli strumenti + schede di output strumenti live in Chat (eventi agente).
• Scheda Attività con riepiloghi locali al browser, orientati alla redazione, dell'attività strumenti live dalla consegna esistente di eventi session.tool / strumenti.

• Canali: integrati più stato dei canali plugin in bundle/esterni, accesso tramite QR e configurazione per canale (channels.status, web.login.*, config.patch).
• Gli aggiornamenti delle sonde dei canali mantengono visibile lo snapshot precedente mentre terminano i controlli lenti dei provider, e gli snapshot parziali sono etichettati quando una sonda o un audit supera il budget UI.
• Istanze: elenco presenza + aggiornamento (system-presence).
• Sessioni: elenca per impostazione predefinita le sessioni degli agenti configurati, fissa le sessioni frequenti, rinominale, archivia o ripristina le sessioni inattive, usa fallback da chiavi di sessione agente non configurate obsolete e applica override per sessione di modello/thinking/fast/verbose/trace/reasoning (sessions.list, sessions.patch). Le sessioni fissate sono ordinate sopra le sessioni recenti non fissate; le sessioni archiviate si trovano nella vista archiviata della pagina Sessioni e conservano le loro trascrizioni.
• Sogni: stato del dreaming, interruttore abilita/disabilita e lettore del Diario dei sogni (doctor.memory.status, doctor.memory.dreamDiary, config.patch).

• Processi Cron: elenco/aggiunta/modifica/esecuzione/abilitazione/disabilitazione + cronologia esecuzioni (cron.*).
• Skills: stato, abilitazione/disabilitazione, installazione, aggiornamenti chiave API (skills.*).
• Nodi: elenco + capacità (node.list), creazione di codici di configurazione mobile e approvazione dell'abbinamento dispositivi (device.pair.*).
• Approvazioni exec: modifica allowlist gateway o nodi + policy di richiesta per exec host=gateway/node (exec.approvals.*).

• Visualizza/modifica ~/.openclaw/openclaw.json (config.get, config.set).
• MCP ha una pagina impostazioni dedicata per server configurati, abilitazione, riepiloghi OAuth/filtro/paralleli, comandi operatore comuni e l'editor di configurazione mcp con ambito.
• Applica e riavvia con convalida (config.apply) e risveglia l'ultima sessione attiva.
• Le scritture includono una protezione con hash di base per evitare di sovrascrivere modifiche concorrenti.
• Le scritture (config.set/config.apply/config.patch) verificano in preflight la risoluzione dei SecretRef attivi per i riferimenti nel payload di configurazione inviato; i riferimenti attivi inviati non risolti vengono rifiutati prima della scrittura.
• I salvataggi dei moduli scartano i segnaposto redatti obsoleti che non possono essere ripristinati dalla configurazione salvata, preservando i valori redatti che mappano ancora a segreti salvati.
• Rendering di schema e modulo (config.schema / config.schema.lookup, inclusi title / description del campo, suggerimenti UI corrispondenti, riepiloghi dei figli immediati, metadati della documentazione sui nodi oggetto annidato/wildcard/array/composizione, più schemi di Plugin e canale quando disponibili); l'editor JSON non elaborato è disponibile solo quando lo snapshot consente un round trip non elaborato sicuro.
• Se uno snapshot non può eseguire in sicurezza il round trip del testo non elaborato, Control UI forza la modalità Modulo e disabilita la modalità Non elaborata per quello snapshot.
• Nell'editor JSON non elaborato, "Reimposta ai salvati" preserva la forma scritta in modalità non elaborata (formattazione, commenti, layout $include) invece di rieseguire il rendering di uno snapshot appiattito, così le modifiche esterne sopravvivono a una reimpostazione quando lo snapshot consente un round trip sicuro.
• I valori oggetto SecretRef strutturati vengono renderizzati in sola lettura negli input di testo del modulo per evitare corruzioni accidentali da oggetto a stringa.

• Debug: snapshot di stato/integrità/modelli + registro eventi + chiamate RPC manuali (status, health, models.list).
• Il registro eventi include tempi di aggiornamento/RPC di Control UI, tempi di rendering lenti di chat/configurazione e voci di reattività del browser per frame di animazione lunghi o attività lunghe quando il browser espone questi tipi di voce PerformanceObserver.
• Log: tail live dei log file del Gateway con filtro/esportazione (logs.tail).
• Aggiornamento: esegui un aggiornamento package/git + riavvio (update.run) con un report di riavvio, poi esegui polling di update.status dopo la riconnessione per verificare la versione del Gateway in esecuzione.

• Per i job isolati, la consegna predefinita è annunciare il riepilogo. Puoi passare a nessuna se vuoi esecuzioni solo interne.
• I campi canale/target appaiono quando è selezionato annuncia.
• La modalità Webhook usa delivery.mode = "webhook" con delivery.to impostato su un URL webhook HTTP(S) valido.
• Per i job della sessione principale, sono disponibili le modalità di consegna webhook e nessuna.
• I controlli di modifica avanzata includono elimina-dopo-esecuzione, cancella override agente, opzioni cron esatto/scaglionato, override modello/thinking dell'agente e toggle di consegna best-effort.
• La convalida del modulo è inline con errori a livello di campo; i valori non validi disabilitano il pulsante di salvataggio finché non vengono corretti.
• Imposta cron.webhookToken per inviare un token bearer dedicato; se omesso, il webhook viene inviato senza header di autenticazione.
• Fallback deprecato: esegui openclaw doctor --fix per migrare i job legacy archiviati con notify: true da cron.webhook a una consegna webhook per-job esplicita o di completamento.

• chat.send è non bloccante: conferma subito con { runId, status: "started" } e la risposta arriva in streaming tramite eventi chat. I client Control UI attendibili possono ricevere anche metadati facoltativi sui tempi di ACK per diagnostica locale.
• I caricamenti in chat accettano immagini più file non video. Le immagini mantengono il percorso immagine nativo; gli altri file vengono archiviati come media gestiti e mostrati nella cronologia come link allegato.
• Reinviare con lo stesso idempotencyKey restituisce { status: "in_flight" } durante l'esecuzione e { status: "ok" } dopo il completamento.
• Le risposte chat.history sono limitate in dimensione per la sicurezza della UI. Quando le voci della trascrizione sono troppo grandi, il Gateway può troncare campi di testo lunghi, omettere blocchi di metadati pesanti e sostituire messaggi sovradimensionati con un segnaposto ([chat.history omitted: message too large]).
• Quando un messaggio assistente visibile è stato troncato in chat.history, il lettore laterale può recuperare su richiesta la voce completa della trascrizione normalizzata per la visualizzazione tramite chat.message.get usando sessionKey, agentId attivo quando necessario e messageId della trascrizione. Se il Gateway non può ancora restituire altro, il lettore mostra uno stato esplicito di indisponibilità invece di ripetere silenziosamente l'anteprima troncata.
• Le immagini assistente/generate vengono persistite come riferimenti a media gestiti e servite di nuovo tramite URL media Gateway autenticati, così i ricaricamenti non dipendono dalla permanenza di payload immagine base64 grezzi nella risposta della cronologia chat.
• Durante il rendering di chat.history, la Control UI rimuove dal testo visibile dell'assistente i tag direttiva inline solo di visualizzazione (per esempio [[reply_to_*]] e [[audio_as_voice]]), i payload XML di chiamata strumento in testo semplice (inclusi <tool_call>...</tool_call>, <function_call>...</function_call>, <tool_calls>...</tool_calls>, <function_calls>...</function_calls> e blocchi di chiamata strumento troncati) e i token di controllo modello ASCII/full-width trapelati, e omette le voci assistente il cui intero testo visibile è solo il token silenzioso esatto NO_REPLY / no_reply o il token di riconoscimento Heartbeat HEARTBEAT_OK.
• Durante un invio attivo e l'aggiornamento finale della cronologia, la vista chat mantiene visibili i messaggi utente/assistente ottimistici locali se chat.history restituisce brevemente uno snapshot più vecchio; la trascrizione canonica sostituisce quei messaggi locali quando la cronologia del Gateway si riallinea.
• Gli eventi live chat sono stato di consegna, mentre chat.history viene ricostruito dalla trascrizione duratura della sessione. Dopo gli eventi finali degli strumenti, la Control UI ricarica la cronologia e fonde solo una piccola coda ottimistica; il confine della trascrizione è documentato in WebChat.
• chat.inject aggiunge una nota assistente alla trascrizione della sessione e trasmette un evento chat per aggiornamenti solo UI (nessuna esecuzione agente, nessuna consegna canale).
• La barra laterale elenca le sessioni recenti con un'azione Nuova sessione, un link Tutte le sessioni e un pulsante di ricerca sessione che apre il selettore completo delle sessioni (con ambito sull'agente selezionato, con ricerca e paginazione). Cambiare agente mostra solo le sessioni legate a quell'agente e ripiega sulla sessione principale di quell'agente quando non ha ancora sessioni dashboard salvate.
• Ogni riga del selettore sessione può rinominare, fissare o archiviare la sessione. Un'esecuzione attiva e la sessione principale di un agente non possono essere archiviate. Archiviare la sessione attualmente selezionata riporta Chat alla sessione principale di quell'agente.
• Su larghezze desktop, i controlli chat restano su una riga compatta e si comprimono durante lo scorrimento verso il basso nella trascrizione; scorrere verso l'alto, tornare all'inizio o raggiungere il fondo ripristina i controlli.
• I messaggi consecutivi duplicati di solo testo vengono renderizzati come una bolla con un badge di conteggio. I messaggi che contengono immagini, allegati, output di strumenti o anteprime canvas non vengono compressi.
• I selettori modello e thinking nell'intestazione della chat applicano immediatamente una patch alla sessione attiva tramite sessions.patch; sono override persistenti della sessione, non opzioni di invio valide solo per un turno.
• Se invii un messaggio mentre una modifica del selettore modello per la stessa sessione è ancora in salvataggio, il composer attende quella patch di sessione prima di chiamare chat.send, così l'invio usa il modello selezionato.
• Digitare /new nella Control UI crea e passa alla stessa nuova sessione dashboard di Nuova chat, tranne quando session.dmScope: "main" è configurato e il parent corrente è la sessione principale dell'agente; in quel caso reimposta la sessione principale sul posto. Digitare /reset mantiene il reset esplicito sul posto del Gateway per la sessione corrente.
• Il selettore modello della chat richiede la vista modelli configurata del Gateway. Se agents.defaults.models è presente, quella allowlist guida il selettore, incluse le voci provider/* che mantengono dinamici i cataloghi con ambito provider. Altrimenti il selettore mostra le voci esplicite models.providers.*.models più i provider con auth utilizzabile. Il catalogo completo resta disponibile tramite la RPC di debug models.list con view: "all".
• Quando i report freschi di utilizzo sessione del Gateway includono i token di contesto correnti, la barra degli strumenti del composer chat mostra un piccolo anello di utilizzo contesto con la percentuale usata; il dettaglio completo dei token si trova nel tooltip. L'anello passa allo stile di avviso ad alta pressione del contesto e, ai livelli consigliati di Compaction, mostra un pulsante compatto che esegue il normale percorso di Compaction della sessione. Gli snapshot obsoleti dei token sono nascosti finché il Gateway non segnala di nuovo un utilizzo fresco.

La modalità conversazione usa un provider vocale realtime registrato. Configura OpenAI con talk.realtime.provider: "openai" più un profilo auth con chiave API openai, talk.realtime.providers.openai.apiKey o OPENAI_API_KEY; i profili OAuth OpenAI non configurano la voce Realtime. Configura Google con talk.realtime.provider: "google" più talk.realtime.providers.google.apiKey. Il browser non riceve mai una chiave API standard del provider. OpenAI riceve un client secret Realtime effimero per WebRTC. Google Live riceve un token auth Live API vincolato monouso per una sessione WebSocket del browser, con istruzioni e dichiarazioni degli strumenti bloccate nel token dal Gateway. I provider che espongono solo un bridge realtime backend passano attraverso il trasporto relay del Gateway, così credenziali e socket dei vendor restano lato server mentre l'audio del browser passa tramite RPC Gateway autenticate. Il prompt della sessione Realtime viene assemblato dal Gateway; talk.client.create non accetta override delle istruzioni forniti dal chiamante.

Il compositore Chat include un pulsante delle opzioni Talk accanto al pulsante di avvio/arresto Talk. Le opzioni si applicano alla sessione Talk successiva e possono sovrascrivere provider, trasporto, modello, voce, sforzo di ragionamento, soglia VAD, durata del silenzio e padding del prefisso. Quando un'opzione è vuota, il Gateway usa i valori predefiniti configurati dove disponibili o il valore predefinito del provider. Selezionare il relay Gateway forza il percorso di relay del backend; selezionare WebRTC mantiene la sessione di proprietà del client e fallisce invece di ripiegare silenziosamente sul relay se il provider non può creare una sessione browser.

Nel compositore Chat, il controllo Talk è il pulsante con le onde accanto al pulsante del microfono per la dettatura. Quando Talk si avvia, la riga di stato del compositore mostra Connecting Talk..., poi Talk live mentre l'audio è connesso, oppure Asking OpenClaw... mentre una chiamata tool realtime consulta il modello più grande configurato tramite talk.client.toolCall.

Smoke test live per maintainer: OPENAI_API_KEY=... GEMINI_API_KEY=... node --import tsx scripts/dev/realtime-talk-live-smoke.ts verifica il bridge WebSocket del backend OpenAI, lo scambio SDP WebRTC browser di OpenAI, la configurazione WebSocket browser con token vincolati di Google Live e l'adapter browser relay del Gateway con media microfono finti. Il comando stampa solo lo stato del provider e non registra segreti.

• Fai clic su Stop (chiama chat.abort).
• Mentre un'esecuzione è attiva, i normali follow-up vengono accodati. Fai clic su Steer su un messaggio accodato per iniettare quel follow-up nel turno in esecuzione.
• Digita /stop (o frasi autonome di interruzione come stop, stop action, stop run, stop openclaw, please stop) per interrompere fuori banda.
• chat.abort supporta { sessionKey } (senza runId) per interrompere tutte le esecuzioni attive per quella sessione.

• Quando un'esecuzione viene interrotta, il testo parziale dell'assistente può comunque essere mostrato nell'interfaccia utente.
• Il Gateway conserva il testo parziale dell'assistente interrotto nella cronologia della trascrizione quando esiste output bufferizzato.
• Le voci conservate includono metadati di interruzione, così i consumer della trascrizione possono distinguere i parziali interrotti dall'output di completamento normale.

{  gateway: {    controlUi: { allowInsecureAuth: true },    bind: "tailnet",    auth: { mode: "token", token: "replace-me" },  },}

allowInsecureAuth è solo un toggle di compatibilità locale:

• Consente alle sessioni Control UI localhost di procedere senza identità del dispositivo in contesti HTTP non sicuri.
• Non bypassa i controlli di abbinamento.
• Non allenta i requisiti di identità del dispositivo remoto (non localhost).

• Un'autenticazione trusted-proxy riuscita può ammettere sessioni Control UI operatore senza identità del dispositivo.
• Questo non si estende alle sessioni Control UI con ruolo nodo.
• I reverse proxy local loopback sullo stesso host continuano a non soddisfare l'autenticazione trusted-proxy; vedi Autenticazione trusted proxy.

• gatewayUrl viene archiviato in localStorage dopo il caricamento e rimosso dall'URL.
• Se passi un endpoint ws:// o wss:// completo tramite gatewayUrl, codifica per URL il valore gatewayUrl in modo che il browser analizzi correttamente la stringa di query.
• token deve essere passato tramite il frammento dell'URL (#token=...) quando possibile. I frammenti non vengono inviati al server, evitando perdite nei log delle richieste e nel Referer. I parametri di query legacy ?token= vengono ancora importati una volta per compatibilità, ma solo come fallback, e vengono rimossi immediatamente dopo il bootstrap.
• password viene mantenuto solo in memoria.
• Quando gatewayUrl è impostato, la UI non ripiega sulle credenziali della configurazione o dell'ambiente. Fornisci esplicitamente token (o password). La mancanza di credenziali esplicite è un errore.
• Usa wss:// quando il Gateway è dietro TLS (Tailscale Serve, proxy HTTPS, ecc.).
• gatewayUrl è accettato solo in una finestra di primo livello (non incorporata) per prevenire il clickjacking.
• Le distribuzioni pubbliche non-loopback della UI di controllo devono impostare esplicitamente gateway.controlUi.allowedOrigins (origini complete). I caricamenti LAN/Tailnet privati con stessa origine da loopback, RFC1918/link-local, .local, .ts.net o host Tailscale CGNAT sono accettati senza abilitare il fallback dell'intestazione Host.
• L'avvio del Gateway può inizializzare origini locali come http://localhost:<port> e http://127.0.0.1:<port> dal bind e dalla porta effettivi del runtime, ma le origini dei browser remoti richiedono comunque voci esplicite.
• Non usare gateway.controlUi.allowedOrigins: ["*"] se non per test locali strettamente controllati. Significa consentire qualsiasi origine del browser, non "corrispondi a qualsiasi host stia usando".
• gateway.controlUi.dangerouslyAllowHostHeaderOriginFallback=true abilita la modalità di fallback dell'origine basata sull'intestazione Host, ma è una modalità di sicurezza pericolosa.