1. 从 OpenClaw 迁到 AiPy：Excel 与 Axios Skills 到底解决什么问题
如果你最近在找 OpenClaw 的安全平替，大概率已经听过 AiPy 这个名字。但真正让人犹豫的往往不是「换不换」，而是「换过去之后，我原来那套自动化流程还能不能跑」。尤其是两类高频需求：一类是天天要碰的 Excel 表格处理，另一类是开发者绕不开的 Axios 依赖安全检测。这两件事在 OpenClaw 里通常靠脚本硬拼，迁到 AiPy 之后，其实可以拆成两个独立的 Skill 来落地。
先说清楚 AiPy 是什么、能做什么、适合谁。AiPy 是一个把大模型能力和本地工具调用结合起来的智能体运行环境，你可以把它理解成一个「能自己动手干活」的助手：它不只是聊天，而是能读写文件、调用接口、执行任务。Skills 就是它的能力插件，像应用商店一样按需安装。适合谁？适合想把重复办公操作自动化的人，也适合需要快速做依赖安全扫描、接口联调的开发者。
我这次聚焦的场景很具体：你已经在用 AiPy，想给它加上 Excel 读写和 Axios 请求封装两类 Skill，并且希望复制配置后能跑通一次真实调用。所以下面不会泛泛讲概念，而是直接给目录结构、config.toml 骨架、请求封装示例，以及验证动作。整个链路里，模型调用这一层我用 TaoToken 来做统一接入，这样 Base URL、Key、Model ID 三件套能固定下来，后面排障也好定位。
先明确一个迁移心态：从 OpenClaw 过来，最大的变化是配置从「散落在脚本里」变成「集中在一个 config.toml」。你原来写在 Python 文件里的 API 地址、密钥、模型名，现在要挪到配置文件里。这不是麻烦，反而是好事——换模型、换 Key 只改一处。Excel Skill 负责表格的增删改查和公式计算，Axios Skill 负责发起 HTTP 请求和做依赖投毒检测，两者互不干扰，但共用同一套模型接入配置。
我试过把这两个 Skill 放在同一个工作目录下并行跑，Excel 处理本地文件，Axios 扫描依赖树，互不抢占资源。关键是要把 Skills 目录结构规划清楚，否则 AiPy 加载时会找不到入口。下面第二节先把 TaoToken 的前置接入讲透，因为不管你用哪个 Skill，模型调用这一层不通，后面全是空谈。
2. TaoToken 前置接入：Base URL、Key、Model ID 三件套怎么配
在配 Excel 和 Axios Skills 之前，得先把模型接入这层打通。AiPy 本身不绑定某一家模型服务，它通过 OpenAI 兼容协议去调用后端。TaoToken 提供的就是这套兼容接口，所以你要准备的核心就是三件套：Base URL、API Key、Model ID。这三样东西在后面的 config.toml 里会反复出现，先在这里一次性说清楚。
Base URL 用https://taotoken.net/api，注意这里不带任何多余路径，AiPy 的请求封装会自动在后面拼/v1/chat/completions。API Key 需要你去控制台生成，路径是 API Keys 页面，生成后复制那一串以sk-开头的字符串。Model ID 则取决于你想用哪个模型，比如做代码和配置生成，选一个擅长结构化输出的就行。这三个值填错任何一个，后面都会报 401 或者 model not found。
为什么强调「三件套」要写全？因为很多从 OpenClaw 迁过来的朋友习惯只填一个 endpoint，结果 Axios Skill 发请求时用的是另一套默认配置，导致一半能跑一半报错。统一在 config.toml 里定义一次，两个 Skill 都引用同一段配置，就不会出现这种割裂。
具体操作上，你可以先到模型对话页面确认一下当前可用的模型列表，把 Model ID 记下来。然后去 API Keys 页面生成密钥。如果你打算长期跑编码类任务，也可以了解下 Coding Plan，它更适合高频调用场景。但不管选哪种，Base URL 和 Key 的用法是一样的。
这里给一个最小可用的配置片段，你可以先放到~/.aipy/config.toml里测试连通性：
[model] provider = "openai-compatible" base_url = "https://taotoken.net/api" api_key = "sk-你的密钥" model_id = "你的模型ID" timeout = 60配好之后，先别急着装 Skill，用一条最简单的请求验证模型层是否通。可以在 AiPy 的交互终端里发一句「返回 ok 两个字母」，如果能正常返回，说明三件套没问题。这一步过了，再往下配 Excel 和 Axios 才有意义。很多人跳过这步直接装 Skill，结果报错时分不清是模型层还是 Skill 层的问题，排查成本翻倍。
另外提醒一点：config.toml 里的 api_key 不要提交到 Git 仓库。建议用环境变量注入，或者把配置文件放在用户目录下并设置好权限。AiPy 支持从环境变量读取，格式是${TAOTOKEN_API_KEY}，这样更安全。下一节进入 Skills 目录结构和可复制配置。
3. Skills 目录结构与 config.toml 骨架：Excel 与 Axios 可复制配置
这一节是全文的核心，直接给可复制的目录结构和配置。你照着建目录、贴配置，就能把 Excel 和 Axios 两个 Skill 挂到 AiPy 上。先说目录结构，AiPy 加载 Skill 时会扫描skills/目录下的子文件夹，每个子文件夹是一个独立 Skill，里面必须有manifest.toml和入口脚本。
推荐的目录结构长这样：
aipy-workspace/ ├── config.toml └── skills/ ├── excel_skill/ │ ├── manifest.toml │ └── main.py └── axios_skill/ ├── manifest.toml └── main.pyconfig.toml放在工作区根目录，负责模型接入和全局参数。两个 Skill 各自有manifest.toml声明元信息，main.py是实际执行逻辑。这种结构的好处是，你以后再加第三个 Skill，只要在skills/下新建文件夹就行，不用动全局配置。
先看全局config.toml的完整骨架，这里把模型层和 Skill 层分开写：
[model] provider = "openai-compatible" base_url = "https://taotoken.net/api" api_key = "${TAOTOKEN_API_KEY}" model_id = "你的模型ID" timeout = 60 [skills] enabled = ["excel_skill", "axios_skill"] skills_dir = "./skills" auto_reload = true [skills.excel_skill] max_rows = 10000 default_sheet = "Sheet1" [skills.axios_skill] scan_depth = 3 report_format = "html"注意api_key用了环境变量占位符，你在运行前先export TAOTOKEN_API_KEY=sk-你的密钥。enabled数组里列出要加载的 Skill 名，必须和文件夹名一致。auto_reload打开后，改完 Skill 代码不用重启 AiPy。
接着看 Excel Skill 的manifest.toml：
[skill] name = "excel_skill" version = "1.0.0" description = "读写 xlsx/xlsm/csv，支持新增列、公式、中位数计算" entry = "main.py" permissions = ["file_read", "file_write"] [skill.params] file_path = { type = "string", required = true } operation = { type = "string", required = true }Axios Skill 的manifest.toml类似，但权限和参数不同：
[skill] name = "axios_skill" version = "1.0.0" description = "Axios 依赖投毒检测与 HTTP 请求封装" entry = "main.py" permissions = ["network", "file_read", "file_write"] [skill.params] target = { type = "string", required = true } mode = { type = "string", required = false, default = "scan" }这里有个关键点：Axios Skill 需要network权限，Excel Skill 不需要。权限声明清楚，AiPy 在加载时会做校验，避免 Skill 越权访问。这也是从 OpenClaw 迁过来后值得注意的安全设计——每个 Skill 的能力边界是显式的。
配置贴完之后，检查三件事：文件夹名和enabled一致、entry指向的文件存在、api_key环境变量已导出。这三件套对齐了，下一节就能跑验证请求。如果你在配置过程中遇到local proxy failed这类报错，先别慌，第五节会专门讲排查。
4. 验证请求与成功结果：跑通一次 Excel 读写和 Axios 扫描
配置就位后，最重要的动作是验证。我建议先验 Excel，再验 Axios，因为 Excel 不依赖网络，出问题更容易定位。验证的目标很明确：让 AiPy 读一个真实表格，新增一列计算结果，然后保存；再让 Axios Skill 对当前项目做一次依赖扫描，输出 HTML 报告。
先准备一个测试用的 Excel 文件，比如scores.xlsx，里面有两列：学生姓名、成绩。放到工作区根目录。然后在 AiPy 交互终端里输入指令：
读取 scores.xlsx，把每个学生的成绩保留，新增一列"是否及格"，成绩大于等于 60 填"是"，否则填"否"，保存为新文件 result.xlsx如果配置正确，AiPy 会调用 excel_skill，读取文件、执行判断、写入新列、保存。成功的话你会看到类似输出：
[excel_skill] loaded scores.xlsx, 12 rows [excel_skill] added column: 是否及格 [excel_skill] saved to result.xlsx打开result.xlsx确认第三列内容正确，这一步就算过了。如果报reading choices相关错误，通常是模型返回格式和 Skill 解析不匹配，检查 manifest 里的参数类型是否写对。
Excel 验证通过后，再验 Axios。在终端输入：
对整个项目进行 axios 依赖检查，生成 HTML 报告保存到当前目录Axios Skill 会扫描node_modules或package.json里的 axios 版本，比对已知的投毒版本列表，然后生成axios_report.html。成功输出类似：
[axios_skill] scanning project dependencies... [axios_skill] found axios@1.6.0 [axios_skill] risk level: low [axios_skill] report saved: axios_report.html打开报告能看到依赖树和风险等级。这一步跑通，说明网络权限、文件写入、模型调用三层都正常。如果你还想验证 Axios Skill 的请求封装能力，可以让它发一个 GET 请求：
用 axios_skill 请求 https://taotoken.net/api 的健康检查路径，返回状态码注意这里只是验证请求封装逻辑，实际业务里你要换成自己的接口地址。成功的话会返回状态码和响应头。
两个 Skill 都验证通过后，你可以把它们串起来用。比如先用 Axios Skill 扫描依赖，把结果写进 Excel 报告。这种组合调用正是 AiPy 相比单纯脚本的优势——Skill 之间可以协作。下一节讲常见报错，这些都是我在迁移过程中真实踩过的。
5. 常见报错排查：401、local proxy failed、reading choices、OAuth
迁移和配置过程中，报错基本集中在四类。我把每一类的现象、原因和解决动作列清楚，你对照着改就行。这些错误在 OpenClaw 迁到 AiPy 的场景里特别常见，因为配置层从脚本内联变成了集中式，任何一处不对都会以这几种形式暴露。
第一类：401 Unauthorized。现象是模型调用直接返回 401，Skill 还没开始执行就挂了。原因通常是 API Key 没读到，或者 Base URL 写错。检查顺序：先确认环境变量TAOTOKEN_API_KEY是否导出成功，用echo $TAOTOKEN_API_KEY看有没有值；再确认config.toml里base_url是https://taotoken.net/api，没有多余斜杠或路径。如果 Key 是对的但还报 401，去 API Keys 页面确认这个 Key 没有被禁用或过期。
第二类：local proxy failed。现象是请求发不出去，提示本地代理失败。这个多半是环境里残留了代理配置，或者config.toml里误填了 proxy 字段。解决动作：检查config.toml的[model]段，确保没有proxy相关配置；再检查系统环境变量里有没有HTTP_PROXY、HTTPS_PROXY，有的话临时 unset 掉再试。AiPy 默认直连，不需要额外代理层。
第三类：reading choices 报错。现象是模型返回了内容，但 Skill 解析时报「reading choices」失败。原因是模型输出格式和 Skill 期望的结构不一致。比如 Excel Skill 期望模型返回 JSON 格式的列定义，但模型返回了自然语言。解决动作：在 Skill 的main.py里加一层容错解析，或者调整提示词，明确要求「只返回 JSON，不要解释」。也可以在config.toml里给该 Skill 单独指定一个更擅长结构化输出的 Model ID。
第四类：OAuth 相关报错。现象是提示 OAuth token 无效或缺失。这类错误通常出现在你混用了不同认证方式的时候。AiPy 走的是 API Key 认证，不需要 OAuth 流程。如果你在配置里同时填了 OAuth 字段和 api_key，会冲突。解决动作：删掉 OAuth 相关配置，只保留api_key。如果你用的是 Codex 的auth.json格式，注意那是另一套体系，不要和 AiPy 的 config.toml 混用。
为了让你更快定位，我整理了一张对照表：
| 报错关键词 | 最可能原因 | 解决动作 |
|---|---|---|
| 401 | Key 未读到或 Base URL 错 | 检查环境变量和 base_url |
| local proxy failed | 残留代理配置 | 清除 proxy 字段和环境变量 |
| reading choices | 模型输出格式不匹配 | 加容错解析或改提示词 |
| OAuth | 认证方式混用 | 只保留 api_key |
排查时有个通用技巧：先把 Skill 禁用，只测模型层。模型层通了，再逐个启用 Skill。这样能把问题范围缩小到具体某一层。另外，如果你在配置里用到了 CC Switch 或 Cline MCP 这类工具，记得 Base URL、Key、Model ID 三件套要写全，缺一个都会导致连接失败。
6. 把配置固化下来：长期跑 Excel 与 Axios 任务的实用建议
配置跑通一次不难，难的是长期稳定跑。这一节给几个实用建议，帮你把 Excel 和 Axios 两个 Skill 的配置固化下来，减少重复排查。这些都是我在实际使用中总结的，不是理论。
第一，把config.toml纳入版本管理，但密钥用环境变量。你可以提交一份config.example.toml，里面api_key写成占位符，真正的config.toml加到.gitignore。这样团队协作时，别人复制示例文件、填入自己的 Key 就能跑。Base URL 和 Model ID 可以写死在示例里，因为它们不敏感。
第二，给每个 Skill 写一个最小验证脚本。Excel Skill 配一个test_excel.py，Axios Skill 配一个test_axios.py，每次改完配置先跑脚本，不用打开交互终端。脚本里直接调用 Skill 的入口函数，传入固定参数，断言输出。这样回归测试成本很低。
第三，模型选择上，Excel 这类需要精确计算的任务，选一个指令遵循强的 Model ID；Axios 扫描这类偏文本分析的任务，可以用响应更快的。你可以在config.toml的[skills.excel_skill]段里单独覆盖model_id，实现按 Skill 分配模型。这样既保证效果，又控制成本。
第四，如果你调用频率高，关注一下 Coding Plan，它比按次计费更适合长期跑 Agent 任务。但不管用哪种计费方式，Base URL 和 Key 的配置方式不变，迁移成本很低。
第五，定期更新 Axios Skill 的投毒版本库。依赖投毒是动态的，今天安全的版本明天可能出问题。建议每周跑一次全盘扫描，把报告存档。Excel Skill 则注意备份原始文件，Skill 写文件前先复制一份，避免误覆盖。
最后说个真实经验：我一开始把两个 Skill 的配置混在一个文件里，改 Excel 的参数时不小心动了 Axios 的权限声明，结果扫描一直失败。后来拆成全局配置加 Skill 独立配置，问题就没了。配置分层这件事，看起来多写几行，实际省下的排查时间远超预期。你现在就可以照着第三节的骨架，把两个 Skill 的配置拆开，跑一遍第四节的验证动作。跑通之后，这套配置就能直接用到日常任务里了。
