1. OpenClaw 插件 skill 符号链接创建失败到底卡在哪

如果你在 Windows 上跑 OpenClaw，看到[skills] failed to create plugin skill symlink EPERM这行日志，先别急着怀疑 OpenClaw 本身崩了。这个报错的意思是：Node.js 调用fs.symlink()时被 Windows 拒绝，错误码EPERM: operation not permitted, symlink。换句话说，OpenClaw 主服务、WebSocket、会话系统大概率都是正常的，真正被卡住的只是「把 plugin skill 目录链接到~/.openclaw/plugin-skills/」这一步。

OpenClaw 的 plugin skill 机制本质上是一个目录映射：它希望把某个 skill（比如browser-automation）的真实目录，通过符号链接挂载到统一的 plugin-skills 目录下，这样运行时就能像访问本地目录一样加载 skill。在 Linux/macOS 上这是常规操作，ln -s一行搞定；但在 Windows 上，普通用户默认没有创建 symlink 的权限，必须开启开发者模式或以管理员身份运行，否则就会直接抛 EPERM。

这个问题之所以值得单独写一篇，是因为它不只是「一个报错」那么简单。它背后牵扯的是 Windows 对现代 Node.js 工程生态的支持短板：symlink 权限、PATH 污染、全局 npm 安装的权限混乱，全都会在 OpenClaw 这类需要动态加载插件的工具上集中爆发。你如果只是临时绕过，后面装 pnpm、turborepo、MCP 相关工具时还会继续踩。

这篇内容面向的是：已经在 Windows 上装好 OpenClaw、能正常对话但插件 skill 加载失败的人；以及准备把 OpenClaw 当成长期 AI Runtime 来用、想一次性把环境理顺的人。我会按「先定位 → 再修权限 → 再换目录联接 → 最后接 TaoToken 验证模型通道」的顺序讲，每一步都给可复制的命令和配置。

先说结论：EPERM 不是 OpenClaw 的 bug，是 Windows 权限模型 + Node.js symlink 调用的组合问题。解决路径有三条，优先级从高到低是：开启开发者模式（根本解）、管理员终端临时跑（应急）、用 junction 目录联接替代 symlink（兼容解）。下面逐条展开。

2. TaoToken 前置：统一 Key 与 API 通道，让 skill 加载后能直接验证

在动手修 symlink 之前，先把模型接入通道准备好，这样 skill 一旦加载成功，你就能立刻发一条请求验证整条链路，而不是修完权限发现模型又连不上，白折腾一轮。

TaoToken 在这里的角色是「统一 Key / API 通道」。你不需要为每个模型单独配一套 base_url 和 key，而是通过一个统一的入口拿到 API Key，然后在 OpenClaw 或相关工具里填同一个 Base URL 和 Model ID。官网地址是 https://taotoken.net/?utm_source=taotoken_aicg_blog_end&utm_medium=csdn&utm_campaign=rewrite&utm_content= ，API 入口是 https://taotoken.net/api （这个不加 UTM）。

具体要准备三样东西，我把它叫「三件套」：

拿 Key 的路径是：先打开官网 https://taotoken.net/?utm_source=taotoken_aicg_blog_end&utm_medium=csdn&utm_campaign=rewrite&utm_content= ，进控制台，在 API Keys 页面创建一个新 Key。控制台地址是 https://taotoken.net/console?utm_source=taotoken_aicg_blog_end&utm_content=console&utm_campaign=rewrite ，API Keys 页面是 https://taotoken.net/api-keys?utm_source=taotoken_aicg_blog_end&utm_content=api-keys&utm_campaign=rewrite 。创建完复制出来，后面配置要用。

如果你只是想先验证模型能不能通，可以用模型对话页面直接测：https://taotoken.net/chat?utm_source=taotoken_aicg_blog_end&utm_content=chat&utm_campaign=rewrite 。这一步不依赖 OpenClaw，能先确认 Key 和 Base URL 是对的。

如果你后面要做长期编码或 Agent 类任务，可以考虑 Coding Plan：https://taotoken.net/coding-plan?utm_source=taotoken_aicg_blog_end&utm_content=coding-plan&utm_campaign=rewrite 。接入文档在 https://taotoken.net/doc?utm_source=taotoken_aicg_blog_end&utm_content=doc&utm_campaign=rewrite ，遇到配置格式不确定时以文档为准。

这里要强调一点：TaoToken 是统一的 API 通道，不是让你绕过什么，而是把多个模型的接入收敛成一套配置。你修 symlink 是为了让 skill 能加载，配 TaoToken 是为了让加载后的 skill 能真正调到模型。两件事分开做，但要在同一次验证里合起来测。

3. 可复制配置：开发者模式、目录权限检查与 junction 切换

这一节是全文的核心操作区。我按「先查权限 → 再开开发者模式 → 再决定用 symlink 还是 junction」的顺序给命令和配置。

3.1 先确认当前 symlink 权限状态

打开 PowerShell（普通权限即可），先看当前用户有没有创建符号链接的特权。执行：

whoami /priv | Select-String -Pattern "SeCreateSymbolicLinkPrivilege"

如果输出里没有SeCreateSymbolicLinkPrivilege，说明当前会话没有创建 symlink 的权限，EPERM 就是必然的。如果输出了但状态是Disabled，同样需要提权或开开发者模式。

再看一下 OpenClaw 的 plugin-skills 目录现状：

$skillDir = "$env:USERPROFILE\.openclaw\plugin-skills" Get-ChildItem $skillDir -Force | Format-Table Name, LinkType, Target -AutoSize

LinkType列会显示SymbolicLink、Junction或空。如果之前创建失败，这里可能是空的或者残留了半成品目录。清理残留：

Remove-Item "$env:USERPROFILE\.openclaw\plugin-skills\*" -Recurse -Force -ErrorAction SilentlyContinue

3.2 开启 Windows 开发者模式（根本解）

路径是：设置 → 系统 → 开发者选项 → 开发人员模式，打开开关，然后重启电脑。重启是必须的，因为 symlink 权限在会话级别生效，不重启可能还是旧状态。

如果你习惯命令行，也可以用注册表方式开启（需要管理员权限）：

New-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\AppModelUnlock" -Name "AllowDevelopmentWithoutDevLicense" -PropertyType DWORD -Value 1 -Force

执行完同样重启。重启后再跑一次 3.1 的权限检查，应该能看到SeCreateSymbolicLinkPrivilege处于可用状态。

3.3 用 junction 替代 symlink（兼容解）

如果你不想开开发者模式，或者公司机器策略限制改不了，可以用目录联接（junction）替代。junction 是 Windows 原生的目录映射，不需要 symlink 特权，普通用户就能建。

先找到 skill 的真实目录，比如 browser-automation skill 在：

D:\AI-Runtime\openclaw\skills\browser-automation

然后建 junction 到 plugin-skills：

$target = "D:\AI-Runtime\openclaw\skills\browser-automation" $link = "$env:USERPROFILE\.openclaw\plugin-skills\browser-automation" New-Item -ItemType Junction -Path $link -Target $target

验证：

Get-Item $link | Format-List Name, LinkType, Target

LinkType应该显示Junction，Target指向真实目录。

3.4 OpenClaw 配置里切换 symlink / junction 策略

如果你的 OpenClaw 版本支持在配置里指定链接方式，可以在配置文件里加一段。配置文件通常在~/.openclaw/config.json或项目根目录的openclaw.config.json。参考片段：

{ "skills": { "pluginSkillsDir": "~/.openclaw/plugin-skills", "linkStrategy": "junction", "autoLink": true, "skills": [ { "name": "browser-automation", "source": "D:/AI-Runtime/openclaw/skills/browser-automation", "enabled": true } ] }, "model": { "baseUrl": "https://taotoken.net/api", "apiKey": "sk-你的Key", "modelId": "claude-sonnet-4-5" } }

注意linkStrategy字段名以你实际版本为准，有的版本叫symlinkMode或linkType。如果不确定，先查接入文档 https://taotoken.net/doc?utm_source=taotoken_aicg_blog_end&utm_content=doc&utm_campaign=rewrite 里关于配置结构的说明，或者直接看 OpenClaw 自己的 schema。

如果你用的是 Codex 类的auth.json，配置结构类似：

{ "base_url": "https://taotoken.net/api", "api_key": "sk-你的Key", "model": "claude-sonnet-4-5" }

三件套（Base URL + Key + Model ID）在任何一种配置里都不能缺，缺一个就会在验证阶段报 401 或 model not found。

3.5 推荐的项目结构

把 OpenClaw 从全局 npm 安装改成独立 workspace，能大幅降低 symlink 失败概率。推荐结构：

D:\AI-Runtime ├── openclaw ├── dify ├── mcp ├── pnpm-store └── docker

初始化方式：

mkdir D:\AI-Runtime\openclaw cd D:\AI-Runtime\openclaw npm init -y npm install openclaw npx openclaw

这样 skill 目录、node_modules、plugin-skills 都在同一个盘符下，junction 和 symlink 的路径解析都更稳定，也不会污染全局 PATH。

4. 验证请求：skill 加载成功 + 模型通道打通

配置改完，重启 OpenClaw，观察启动日志。成功的标志是这两类信息同时出现：

第一类，skill 加载成功。日志里不再有failed to create plugin skill symlink EPERM，而是类似：

[skills] loaded plugin skill: browser-automation [skills] plugin-skills dir ready: C:\Users\你\.openclaw\plugin-skills

第二类，模型通道正常。发一条最小请求验证：

curl -X POST "https://taotoken.net/api/v1/chat/completions" ` -H "Authorization: Bearer sk-你的Key" ` -H "Content-Type: application/json" ` -d "{\"model\":\"claude-sonnet-4-5\",\"messages\":[{\"role\":\"user\",\"content\":\"ping\"}]}"

如果返回里有choices字段和正常内容，说明 Key、Base URL、Model ID 三件套都对。如果返回 401，检查 Key 是否复制完整；如果返回 model not found，检查 Model ID 拼写。

再回到 OpenClaw 里，触发一次用到 skill 的操作，比如让 browser-automation 打开一个页面。如果 skill 正常加载且模型通道正常，你会看到 skill 被调用、模型返回结果的完整链路。

我实测下来，最容易出问题的不是 symlink 本身，而是「skill 加载了但模型没配好」或者「模型配好了但 skill 目录是空的」。所以验证一定要分两步：先确认 plugin-skills 目录下有正确的链接，再确认模型请求能通。

检查 plugin-skills 目录：

Get-ChildItem "$env:USERPROFILE\.openclaw\plugin-skills" -Force | Format-Table Name, LinkType, Target -AutoSize

应该能看到browser-automation这一项，LinkType是Junction或SymbolicLink，Target指向真实 skill 目录。

如果这一步正常，但 OpenClaw 日志里还是报 skill 加载失败，那问题可能出在 skill 的manifest.json或入口文件路径上，跟 symlink 无关了。这时候去看 skill 目录里有没有manifest.json，以及main字段指向的文件是否存在。

5. 本篇常见错排查：401、local proxy failed、reading choices、OAuth

这一节把实际会撞到的报错逐个对照，给出定位方向。

EPERM: operation not permitted, symlink

这是本篇主问题。原因：Windows 普通用户无 symlink 特权。解决：开开发者模式 + 重启，或改用 junction。如果开了开发者模式还报，检查是不是在管理员终端里跑但环境变量没继承，换个新终端重试。

401 Unauthorized

模型通道问题，跟 symlink 无关。检查三件套：Base URL 是不是https://taotoken.net/api（不要多加/v1之外的路径），Key 是不是完整复制（注意前后空格），Model ID 是不是控制台里实际存在的。如果用的是auth.json，检查 JSON 格式有没有多逗号。

local proxy failed

这个通常出现在你本地配了代理但代理没起来，或者代理地址写错。注意：这里说的是本地开发环境的网络配置问题，不是让你去搞什么特殊网络手段。检查你的环境变量HTTP_PROXY/HTTPS_PROXY是否指向了一个不存在的本地端口。如果不需要代理，直接清掉这两个变量：

Remove-Item Env:HTTP_PROXY -ErrorAction SilentlyContinue Remove-Item Env:HTTPS_PROXY -ErrorAction SilentlyContinue

reading 'choices' of undefined

这个报错说明代码在解析响应时，choices字段不存在。常见原因：API 返回的是错误对象而不是正常响应，但代码没判断状态码就直接读choices。定位方法：把原始响应打出来看。用 curl 直接请求一次，看返回体到底是什么。如果是 401 或 404，先解决鉴权或路径问题；如果返回体是正常的但字段名不对，检查是不是用了 OpenAI 兼容格式之外的响应结构。

OAuth 相关报错

如果你用的是需要 OAuth 的接入方式，报错通常出现在 token 过期或回调地址不匹配。检查你的 OAuth 配置里的 redirect URI 是否和实际一致，token 是否过期。如果用的是 API Key 方式，一般不会碰到 OAuth 问题。Claude Code 类工具如果走 OAuth，参考接入文档里的说明：https://taotoken.net/doc?utm_source=taotoken_aicg_blog_end&utm_content=doc&utm_campaign=rewrite 。

skill 加载了但调用时报 not found

检查 skill 的manifest.json里name字段和你在配置里引用的名字是否一致。junction 建对了不代表 skill 元数据对。另外检查plugin-skills目录下的链接名是否和 skill 名一致，不一致会导致按名查找失败。

重启后 symlink 又失效

如果你用的是 symlink 而不是 junction，某些 Windows 更新或安全策略可能会重置权限。这种情况建议直接切 junction，稳定性更好。切换方式就是删掉旧链接，用 3.3 的命令重建。

6. 把 OpenClaw 当长期 Runtime：配置收口与后续动作

修完 symlink、配好 TaoToken 之后，你的 OpenClaw 应该能正常加载 plugin skill 并调用模型了。但如果你打算把它当长期 AI Runtime 用，还有几件事值得做。

第一，把配置收口到项目目录，不要散落在全局。~/.openclaw/config.json放通用配置，项目目录放项目级覆盖。这样换机器或重装时，迁移成本低。

第二，skill 目录统一放在D:\AI-Runtime\openclaw\skills\下，plugin-skills 只放链接，不放实体。这样备份和版本管理都清晰。

第三，模型通道统一走 TaoToken 的 Base URL，不要在多个工具里各配一套。Coding Plan 适合长期编码任务：https://taotoken.net/coding-plan?utm_source=taotoken_aicg_blog_end&utm_content=coding-plan&utm_campaign=rewrite 。需要临时验证模型时用模型对话：https://taotoken.net/chat?utm_source=taotoken_aicg_blog_end&utm_content=chat&utm_campaign=rewrite 。Key 管理在 API Keys 页面：https://taotoken.net/api-keys?utm_source=taotoken_aicg_blog_end&utm_content=api-keys&utm_campaign=rewrite 。

第四，如果你后面要接 Claude Code 类的编码工具，配置格式和 OpenClaw 类似，都是 Base URL + Key + Model ID 三件套。参考文档：https://taotoken.net/doc?utm_source=taotoken_aicg_blog_end&utm_content=doc&utm_campaign=rewrite 。Claude Code 相关入口：https://taotoken.net/claude-code-anthropic?utm_source=taotoken_aicg_blog_end&utm_content=claude-code-anthropic&utm_campaign=rewrite 。

最后说一个我踩过的坑：一开始我用全局 npm 装 OpenClaw，symlink 失败后反复重装，结果 PATH 里堆了好几个版本的 openclaw，排查了半天才发现是 PATH 污染。后来改成独立 workspace + junction，一次就过了。所以如果你还在全局安装阶段，建议直接切到 3.5 的目录结构，能省掉后面很多莫名其妙的报错。

整个链路理顺之后，OpenClaw 的 plugin skill 加载、模型调用、会话管理就都能稳定跑起来了。EPERM 只是 Windows 环境的一个门槛，跨过去之后，剩下的就是正常使用和按需扩展 skill 了。