Authorization: Bearer <token>
像最正式的敲门方式。
Plugins 导读
用 Webhook 把外部系统接进 TaskFlow，不用写插件
先配好 routes 里的 secret 和 sessionKey——secret 决定谁能调，sessionKey 决定这个 Webhook 能操作哪些 TaskFlow。最容易错的是把 sessionKey 设成了权限过大的会话，或者 secret 明文写在配置里。
先讲这一页到底在解决什么
用 Webhook 把外部系统接进 TaskFlow，不用写插件
先配好 routes 里的 secret 和 sessionKey——secret 决定谁能调，sessionKey 决定这个 Webhook 能操作哪些 TaskFlow。最容易错的是把 sessionKey 设成了权限过大的会话，或者 secret 明文写在配置里。
第一步
🚪 先把门铃装上，再给它一个暗号和门牌
没有 `enabled`、`token`、`path`，门铃就不完整。
enabled像给门铃通电。
token像门铃暗号，没暗号谁都能乱按就不行。
path像门牌号，告诉外面的人该敲哪儿。
第二步
🪪 鉴权像“先对暗号，再进门”
这页反复强调 token，不是啰嗦，而是因为这扇门一旦开了，权限就不轻。
x-openclaw-token
像备用暗号通道。
不要把 token 写进 query string
像别把门禁暗号贴在门外纸条上。
secret references
像把暗号藏进更安全的柜子里，不直接摊在配置上。
第三步
💓 wake 和 agent，是两种完全不同的按铃结果
一个只叫醒主会话，一个直接开新任务。
/hooks/wake像轻轻拍门：“醒一醒，有消息了。”
/hooks/agent像直接塞一张新任务单：“去隔壁房间干活。”
taskflow 入口
真正复杂的外部自动化，最后通常都会落到 TaskFlow 这条线上。
最后总结
🎈 把 Webhooks 这页压成一句最好记的话
Webhooks 就是外部门铃：先装好门牌和暗号，外面的系统才能安全地把任务推进 OpenClaw。