2026 OpenClaw 前端实战：
远程 Mac 对接 Vercel Deployment Hook——冒烟、安全 Headers 巡检与构建摘要回传
适用读者：在 Vercel 上交付前端、需要在真实公网 URL上做部署后验收（而非仅 CI 绿灯）的团队。本文将 Deployment Hook 经 Ingress 接到远程 Mac 上由 OpenClaw 编排的 Runner，用同一套入口脚本复现：预热、安全 Headers 差分、Playwright 双引擎冒烟，以及结构化 build_summary 回传。固定 slug：2026-openclaw-vercel-deployment-hook-smoke-headers-summary.html。延伸阅读：Netlify Deploy Hook 冒烟、Cloudflare Pages Deploy Hook、CSP 与 nonce 验收。
2026-openclaw-vercel-deployment-hook-smoke-headers-summary.html01 OpenClaw 与 Hook URL
Deployment Hook 只说明 Vercel 完成了一次构建，并不证明 CSP、HSTS、Permissions-Policy 在用户实际访问的主机名上仍然成立——中间还隔着 vercel.json、Middleware 与边缘路由。常见坑有三类：未做刻意预热时读到 ISR/边缘缓存的「半新」文档壳；仓库里的配置与线上响应头合并结果不一致，必须用线上 curl -sSI 对照检入的期望；Safari 与 Chromium 在存储与第三方上下文上仍有差异，诚实门禁需要远程 Mac 跑 Playwright 的 webkit 与 chromium 项目。
取舍表：临时人工验收 vs Hook + OpenClaw Runner
| 维度 | 临时人工 | Hook + OpenClaw Runner |
|---|---|---|
| 触发 | 依赖同事「想起来」在群里点一下。 | 每次生产部署走同一脚本路径。 |
| 证据 | 聊天记录里的截图，难对齐版本。 | NDJSON 阶段、Headers diff、与 VERCEL_DEPLOYMENT_ID 绑定的 build_summary。 |
| 密钥 | 忙乱中容易过度共享。 | Ingress 只认一条共享密钥；下游 Token 不挂在 Hook URL 上。 |
可复现接线步骤（按顺序执行）：
- 在 Vercel Settings → Git → Deploy Hooks 为 Production 创建 Hook，把 URL 当密码管理，人员变动时轮换。
- Hook 只指向你方 Ingress：校验 HMAC 或
Authorization: Bearer，1 秒内返回202 Accepted，入队时生成OPENCLAW_RUN_ID，将负载中的上下文转发到远程 Mac 上的~/runners/vercel-post-deploy.sh（或仓库内统一路径）。 - 导出
DEPLOY_URL=https://${VERCEL_URL}（或按环境映射自定义域名），以及VERCEL_DEPLOYMENT_ID、VERCEL_GIT_COMMIT_SHA；在 Runner 启动前用允许列表校验主机名，拒绝陌生域。 - 仓库中保留
scripts/vercel/openclaw-post-deploy.sh（或等价 Node 入口），保证本地 dry-run 与 SSH 到远程 Mac 执行的是同一路径。 - 在远程主机上对「单次部署」加文件锁或队列，避免 Webhook 重试并发拉起多套 Playwright。
02 冒烟与 Headers 检查脚本接口
把 Runner 拆成三个阶段，每阶段产生稳定产物；每阶段向 .openclaw/reports/deploy_hook.ndjson 追加一行 NDJSON，字段包含 phase、http_status（如适用）、duration_ms、openclaw_run_id。
（A）预热。 对 $DEPLOY_URL 的健康路径循环执行 curl -fsS，直到 HTTP 200 且响应体含约定的 HTML 标记；对 429、502、503 与连接重置使用指数退避 + 抖动，上限与团队 SLO 对齐。
（B）Headers 巡检。 在仓库维护 config/headers_expect.json，列出对 strict-transport-security、content-security-policy（或 content-security-policy-report-only）、x-frame-options、permissions-policy 等指令的最低要求。用 curl -sSI 抓取线上响应头，统一大小写与空白后，将差异写入 .openclaw/reports/headers_diff.txt；任一必需指令缺失则该阶段判失败。
（C）冒烟测试。 执行 npx playwright test tests/smoke --project=webkit --project=chromium，并设置 BASE_URL=$DEPLOY_URL。在 Apple 硅片上建议先跑 WebKit，便于暴露 ITP 相关回归。失败时在 .openclaw/traces/ 保留 trace，文件名含 openclaw_run_id。
03 失败摘要回传模式
成功时写入 .openclaw/reports/build_summary.json，使用 schema: "build_summary/v1"，包含 git_sha、deploy_id（即 Vercel 部署 id）、各阶段 duration_ms 与 headers_diff_bytes。失败时在同一文件形状内填写 failed_phase、stderr 摘要片段与非零 exit_code，便于机器人和 PR 评论侧只解析一种 JSON。
向团队 Webhook 或 PR 评论接口 POST 时携带 Idempotency-Key: ${VERCEL_GIT_COMMIT_SHA}:${VERCEL_DEPLOYMENT_ID}:summary，避免 Vercel 重试导致重复刷屏。日志中禁止打印 Bearer；归档 NDJSON 时对主机名与查询串脱敏。若需与构建体积看板对齐，字段命名可与 构建指标 PR 摘要 共用约定。
为预热设置墙上时钟上限（例如 5 分钟），并在日志中记录 x-vercel-id 或 cf-ray（若存在），便于运维判断命中哪一弹。
将 headers_diff.txt 纳入部署产物目录，安全评审可直接对照「仓库意图」与「线上捕获」。
OPENCLAW_GATEWAY_TOKEN 仅用于入队与摘要 API；勿把 Vercel 或 GitHub Token 写进前端包体或公开构建日志。
04 FAQ
| 现象 | 可能原因 | 建议核对 |
|---|---|---|
| Hook 侧 401 | Ingress 密钥轮换或 Authorization 方案不一致。 | 更新 Vault 中密钥；全文搜索文档里的旧端点。 |
| Headers 突然不一致 | Middleware 变更、vercel.json 新段、或 ISR 首包。 |
按 VERCEL_DEPLOYMENT_ID 留存 curl，再缩小 diff 范围。 |
| WebKit 失败、Chromium 通过 | ITP、分区存储或第三方 Cookie 默认策略。 | Playwright trace 附带部署元数据；必要时收紧 Cookie jar 重试。 |
| 摘要 POST 返回 429 | GitHub 等对评论 API 的次级限流。 | 退避；尽量复用同一条 issue 评论；拉宽 webhook 重试间隔。 |
能否用 curl 批跑替代 Playwright？不能替代。curl 证明传输层头与重定向；浏览器对 CSP、混合内容仍各自执行。推荐 curl 作快速门禁，再用 Playwright 覆盖 DOM 与存储行为。