在使用OpenClaw集成免费模型时，API Key的安全存储是一个至关重要的环节。最不可取的做法是将密钥直接硬编码至配置文件或源代码——一旦代码上传到Git仓库，密钥便会永久暴露在公网环境中，且无法撤销。那么，正确的做法是什么？答案是通过环境变量进行安全管理。
OpenClaw默认读取的环境变量名称是OPENCLAW_API_KEY，它是主密钥的唯一入口。如果你正在使用Qwen、Phi-3、Gemma等免费模型，只需将对应服务商分配的密钥字符串赋值给该变量即可。需要注意的是，变量名不支持自定义修改，如果强行改名，程序会直接抛出错误：KeyError: 'OPENCLAW_API_KEY'。这一步虽然不复杂，但一旦出错就会前功尽弃。
明确OpenClaw环境变量命名要求
OpenClaw仅识别OPENCLAW_API_KEY这一个环境变量名。即便是免费模型，也必须通过这个入口传递密钥，没有任何例外。因此，不要试图修改变量名，直接使用标准名称即可。
Linux/macOS系统：永久设置OpenClaw API Key环境变量
打开终端，将密钥写入Shell配置文件中。假设你使用的是zsh（macOS默认），执行以下命令：
echo 'export OPENCLAW_API_KEY="sk-free-abc123xyz"' >> ~/.zshrc
如果你使用的是bash，将~/.zshrc替换为~/.bashrc即可。
写入后，必须运行source ~/.zshrc才能使变量在当前终端生效。这一步非常关键——很多用户忘记source，导致新开启的终端窗口无法读取变量，误以为设置失败。
验证方式十分简单：执行echo $OPENCLAW_API_KEY，应能显示完整的密钥字符串。如果无输出，请检查引号是否成对闭合、等号两侧是否有空格、文件路径是否正确。
Windows系统：通过PowerShell配置OpenClaw用户级环境变量
以管理员身份打开PowerShell，执行这条命令：
[System.Environment]::SetEnvironmentVariable('OPENCLAW_API_KEY', 'sk-free-abc123xyz', 'User')
需要注意一个常见误区：设置完变量后，必须重启所有已经打开的IDE或终端窗口，否则Python进程无法读取到新变量。原因是环境变量在进程启动时就已经确定，后续的修改不会自动同步到已运行的进程中。
项目级隔离：通过.env文件与python-dotenv管理密钥
如果不想污染全局环境变量，或者多个项目需要不同的密钥，可以用.env文件。在项目根目录下创建名为.env的文件（注意文件名前面有个点，没有扩展名），里面只写一行：
OPENCLAW_API_KEY=sk-free-abc123xyz
然后在Python启动脚本顶部加两行代码：
from dotenv import load_dotenvload_dotenv()
关键要点：load_dotenv()必须在导入任何OpenClaw模块之前调用，否则模块初始化时环境变量尚未加载，导致密钥读取失败。此外，.env文件务必放置在项目根目录下，不要放错位置。
验证OpenClaw API Key是否成功加载
最后运行一个最小化脚本验证配置是否成功：
import osprint("API Key loaded:", bool(os.getenv("OPENCLAW_API_KEY")))
如果输出True，表示环境变量已正确加载。如果输出False，请检查变量名是否拼写错误、文件路径是否正确、是否执行了source命令或重启了终端。按照这些步骤排查即可。