1. 项目概述这不是一个“玩具”而是一套可落地的开源网络资产测绘与主动探测框架OpenClaw也常被社区称为Clawdbot不是某个小众脚本的代号也不是某次CTF比赛里临时拼凑的工具链。它是一个真实存在于GitHub上的、持续维护的、面向红队和安全运营团队的主动式网络空间测绘系统。它的核心价值在于把“资产发现”这件事从零散的手动扫描变成可编排、可回溯、可集成的标准化流程。你看到标题里写的“最简安装部署指南”背后其实藏着一个现实困境——很多刚接触网络空间测绘的新手一上来就被Nmap参数、Masscan线程、Shodan API密钥、Elasticsearch索引模板、Kibana可视化配置这些名词绕晕了。他们真正需要的不是立刻理解整个技术栈的每一层而是先让系统跑起来看到第一行资产数据从终端里刷出来建立起“我能掌控这个东西”的信心。所以这篇教程的出发点很朴素跳过所有前置知识假设不依赖你是否装过Docker Desktop、是否配过Python虚拟环境、是否了解Zabbix的监控逻辑只用一条命令、一个配置文件、一次确认就把OpenClaw的核心探测能力拉起来。它适合谁适合刚拿到Kali Linux镜像、连apt update都还在犹豫要不要加-y参数的新手适合在公司内网想快速摸清测试靶机IP段但又不敢乱敲命令的安全实习生也适合那些被各种“保姆级教程”标题吸引进来结果点开发现前两步就要你手动编译Go语言环境、修改七处配置文件、再重启三次服务的疲惫用户。我们不讲“为什么用Docker”只告诉你“为什么这台机器上必须用Docker”不解释“Clawdbot和Zabbix的区别”只说明“如果你只是想看端口开放情况Zabbix模块完全可以关掉”。关键词里的“openclaw安装”、“clawdbot”、“docker安装部署”不是流量密码而是我们拆解这个系统时最真实的三个支点安装是入口Clawdbot是主体Docker是唯一被验证过的、对新手最友好的运行载体。2. 整体设计思路为什么“最简”不等于“阉割”而是一种精准的减法2.1 放弃所有非核心依赖只保留“探测-存储-查看”铁三角很多人第一次尝试部署OpenClaw失败根本原因不是技术门槛高而是被它的官方文档带偏了方向。官方README里列出了整整一页的可选组件PostgreSQL用于长期资产归档、Redis做任务队列、Grafana做实时仪表盘、Prometheus做服务健康监控、甚至还有个独立的Web UI前端项目。这对一个成熟的安全平台来说是合理的架构但对一个“想先看看自己局域网里开了哪些端口”的新手而言就是灾难。我们的设计思路非常明确砍掉所有“锦上添花”的模块只留下“雪中送炭”的三件套。第一件是Clawdbot本身——它负责调用Masscan进行高速端口扫描再用Nmap进行深度服务识别这是整个流程的发动机第二件是SQLite数据库——它不依赖任何外部服务所有扫描结果直接写入单个.db文件启动快、备份易、删除干净完全规避了MySQL root密码设置、PostgreSQL权限配置这些经典坑第三件是内置的轻量Web服务——Clawdbot自带一个基于Flask的简易HTTP接口不需要额外部署Nginx或Apache通过http://localhost:5000就能直接查到最新扫描结果。这三者构成一个自包含的闭环你下指令它扫它存你刷新网页就能看。没有中间件没有代理层没有二次开发接口。我实测过在一台4核8G的旧笔记本上从git clone到打开浏览器看到资产列表全程耗时不到90秒。这个时间成本比你反复重装Kali Linux还要低。2.2 Docker不是选择而是唯一可行的封装方案为什么所有热词里都带着“docker安装部署”因为这是目前唯一能同时满足“零环境冲突”和“一键复位”的方案。你可以想象一下不用Docker的场景你在Ubuntu上装了Python3.10但Clawdbot要求3.9你本地有MySQL 8.0但它的SQLAlchemy驱动只兼容5.7你刚配好Nmap的sudo免密结果Clawdbot的配置文件里又要求另一个用户组权限。这些不是理论风险是我帮三个不同客户现场调试时踩过的真坑。Docker的价值在这里体现得淋漓尽致它把整个运行环境——包括特定版本的Python、预编译好的Masscan二进制、定制过的Nmap配置、甚至时区和locale设置——全部打包进一个镜像里。你执行docker run它就启动一个干净的、隔离的、与宿主机完全无关的沙盒。更关键的是当配置出错时你不需要去查/var/log/下的十几个日志文件只需要docker logs clawbot就能看到全部输出当你想彻底重来docker rm -f clawbot docker rmi openclaw:latest两条命令比卸载Windows软件还干净。我们选用的镜像不是随便找的第三方构建版而是基于官方Dockerfile重新精简后的版本移除了所有调试用的curl、vim、net-tools等非必要包镜像体积从1.2GB压到386MB拉取速度提升近三倍。这不是为了炫技而是为了让第一次运行docker pull的新手不会在宿舍WiFi下等五分钟然后放弃。2.3 “新手友好”的本质是把所有隐性成本显性化、可操作化很多所谓“保姆级教程”失败的关键在于它们把“隐性成本”当成了理所当然。比如它会说“请确保Docker已安装”但不会告诉你在Windows上这意味着你必须开启WSL2并分配至少2GB内存在macOS上你需要关闭SIP才能挂载宿主机目录在Kali Linux上“已安装”可能只是apt install docker.io但实际运行时会因cgroup v2不兼容而报错。我们的处理方式是把每一个可能卡住的环节变成一个明确的、带预期结果的检查步骤。例如Docker检查不是一句“运行docker --version”而是运行docker --version确认输出类似Docker version 24.0.7, build afdd53b运行docker info | grep Default Runtime确认输出包含runc而非io.containerd.runc.v2后者在旧内核上会失败运行docker run hello-world看到Hello from Docker!才算真正通过。 这三个步骤每个都有明确的成功标志任何一个失败下面的安装就毫无意义。这种设计把模糊的“确保环境正常”转化成了清晰的“三步验证清单”。它不教你怎么修Docker但它让你知道如果第三步失败问题一定出在Docker本身而不是OpenClaw的代码。这种边界感对新手建立掌控力至关重要。3. 核心细节解析从一行命令开始拆解每个参数背后的实战考量3.1 最简启动命令的逐字解剖docker run -d --name clawbot -p 5000:5000 -v $(pwd)/data:/app/data openclaw:lite这条命令看起来简单但每个符号都是经过反复验证的决策。我们来逐个拆解docker run -d-d代表detached模式后台运行。新手最容易犯的错就是漏掉这个参数然后看着终端卡在启动日志里不敢动以为程序卡死了。实际上Clawdbot启动后会持续监听端口前台运行会阻塞你的终端导致你无法输入后续命令。-d让它安静地在后台工作这才是生产环境该有的样子。--name clawbot给容器起一个固定名字。这看似多余但解决了两个真实痛点第一避免每次启动都生成一串随机哈希名如eloquent_mccarthy让你在docker ps列表里一眼找到它第二为后续的docker exec -it clawbot bash进入容器调试提供稳定入口。我见过太多人因为名字随机调试时要反复docker ps | grep openclaw效率极低。-p 5000:5000端口映射。左边是宿主机端口右边是容器内端口。这里必须是5000:5000不能写成8080:5000。因为Clawdbot的Web服务硬编码监听5000端口改宿主机端口没问题但改容器内端口需要重新构建镜像对新手来说就是不可逾越的鸿沟。我们选择向内妥协而不是向外折腾。-v $(pwd)/data:/app/data这是整个数据持久化的命脉。$(pwd)/data是宿主机当前目录下的data文件夹/app/data是容器内的路径。Clawdbot的所有扫描结果、日志、配置缓存都默认写入/app/data。如果不加这个参数容器一旦停止所有数据就永久丢失——你扫了一晚上资产重启后发现数据库是空的那种崩溃感我深有体会。这个映射保证了即使你误删了容器只要./data文件夹还在数据就完好无损。而且$(pwd)的写法确保了无论你在哪个目录下执行命令数据都会落在当前路径避免了绝对路径带来的混乱。openclaw:lite镜像名称和标签。lite是我们构建的精简版标签区别于官方的latest。官方镜像包含所有可选模块的编译产物体积大、启动慢lite版只保留Clawdbot核心二进制、SQLite驱动和Flask服务启动时间从12秒缩短到3.2秒。这个标签不是噱头而是实测数据支撑的选择。提示如果你在执行这条命令时遇到port is already allocated错误说明5000端口已被占用。不要急着查哪个进程占用了它直接改成-p 5001:5000然后访问http://localhost:5001即可。端口冲突是新手最高频的问题预留一个快速绕过的方案比教他用lsof -i :5000更实用。3.2 配置文件config.yaml的最小化实践只动3个字段其他全注释Clawdbot的配置文件config.yaml有87行但对新手而言真正需要关注的只有3个。我们提供一个“最小可用”模板# 扫描目标支持CIDR、域名、IP列表用逗号分隔 targets: [192.168.1.0/24, example.com] # 扫描策略控制速度和隐蔽性新手建议用safe scan_strategy: safe # 数据库路径必须指向/app/data下的文件否则SQLite会创建在内存里 database_path: /app/data/clawbot.db其他所有字段比如redis_url、elasticsearch_host、webhook_url全部用#注释掉。这不是偷懒而是基于一个深刻认知配置项越多出错概率呈指数级增长。scan_strategy设为safe意味着它会自动限制Masscan的发包速率默认1000 pps避免触发企业防火墙的阈值告警database_path必须是绝对路径且指向挂载卷这是SQLite在Docker里持久化的铁律。我曾经帮一个金融客户部署他们坚持要启用aggressive策略结果第一次扫描就把内网IDS的告警邮件发到了CEO邮箱里。所以safe不是性能妥协而是对生产环境的基本尊重。3.3 启动后的首次交互如何用三条命令完成“探测-查询-导出”全流程容器启动成功只是万里长征第一步。新手最迷茫的是“接下来我该干什么”。我们设计了一个极简的三步交互流触发扫描docker exec -it clawbot clawbot scan --target 127.0.0.1 --ports 22,80,443这条命令的意思是进入容器调用Clawdbot的scan子命令只扫本机的22、80、443三个端口。--target和--ports是必填参数缺一不可。新手常犯的错是只写clawbot scan结果报错error: the following arguments are required: --target。我们强制要求你明确指定目标和端口就是为了杜绝“扫了全网却不知道扫了啥”的失控感。查询结果curl -s http://localhost:5000/api/v1/results | jq .这里用curl直接调用APIjq用来格式化JSON输出如果没装jqcurl http://localhost:5000/api/v1/results也能看到原始数据。返回的是一个标准JSON数组每项包含ip、port、service、version等字段。看到service: ssh、version: OpenSSH 8.9p1这样的结果你就知道系统真的在工作了。导出为CSVdocker exec -it clawbot clawbot export --format csv --output /app/data/results.csv导出命令会把当前数据库里的所有结果生成一个CSV文件路径就在挂载的./data里。你可以在宿主机上直接用Excel打开看到整齐的表格。这一步的意义在于它把抽象的数据库记录转化成了你最熟悉的办公软件格式完成了从“技术输出”到“业务可用”的最后一跃。这三步构成了一个完整的、可验证的、无歧义的操作闭环。它不追求功能全面但保证每一步都有明确的输入、确定的输出、即时的反馈。4. 实操过程详解从零开始完整复现一次可验证的部署4.1 环境准备阶段三分钟搞定Docker不依赖任何前置知识我们以Kali Linux 2024.1作为基准环境全程使用终端操作不打开任何图形界面。第一步确认系统基础打开终端输入uname -r预期输出类似6.6.15-amd64。如果版本低于5.4说明内核太老Docker可能无法正常运行需要先升级系统sudo apt update sudo apt full-upgrade -y。这一步耗时约2分钟但能避免后续90%的兼容性问题。第二步安装Docker Engine非docker.ioKali默认源里的docker.io包陈旧且不兼容新内核。我们必须用Docker官方源sudo apt-get remove docker docker-engine docker.io containerd runc sudo apt-get update sudo apt-get install ca-certificates curl gnupg lsb-release -y sudo mkdir -p /etc/apt/keyrings curl -fsSL https://download.docker.com/linux/debian/gpg | sudo gpg --dearmor -o /etc/apt/keyrings/docker.gpg echo deb [arch$(dpkg --print-architecture) signed-by/etc/apt/keyrings/docker.gpg] https://download.docker.com/linux/debian $(lsb_release -cs) stable | sudo tee /etc/apt/sources.list.d/docker.list /dev/null sudo apt-get update sudo apt-get install docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin -y这段命令看起来长但全是复制粘贴操作。关键是$(lsb_release -cs)会自动识别Kali的代号如bookworm无需你手动判断。安装完成后运行sudo docker run hello-world看到Hello from Docker!即表示成功。整个过程我实测耗时2分17秒。第三步验证Docker权限新手最大雷区很多新手卡在这里docker run命令需要sudo但教程里写的都是docker run。这是因为Docker守护进程默认只允许root用户访问。解决方法是把当前用户加入docker组sudo usermod -aG docker $USER newgrp dockernewgrp docker这行命令至关重要它会立即刷新当前shell的组权限无需重启或登出。如果跳过这步你后面每条docker命令都要加sudo而sudo docker run在某些环境下会导致挂载卷权限异常。这是我帮27个新手调试时发现的最高频、最隐蔽的失败原因。4.2 镜像拉取与容器启动一次成功拒绝反复试错第一步拉取精简镜像docker pull ghcr.io/openclaw/clawbot:lite注意镜像地址是ghcr.ioGitHub Container Registry不是Docker Hub。这是官方推荐的最新源lite标签确保你拿到的是优化版。拉取过程取决于网络国内用户建议提前配置好镜像加速器如阿里云、腾讯云提供的加速地址否则可能超时。如果遇到pull access denied说明你没登录GitHub账号但lite镜像是公开的无需登录此时应检查网络或换源。第二步创建数据目录并启动容器mkdir -p ./data docker run -d --name clawbot -p 5000:5000 -v $(pwd)/data:/app/data ghcr.io/openclaw/clawbot:lite执行后终端会返回一串长ID如a1b2c3d4e5f6...这就是容器ID。立刻验证docker ps | grep clawbot应该看到一行输出STATUS列为Up X secondsPORTS列为0.0.0.0:5000-5000/tcp。如果STATUS是Exited (1)说明启动失败马上执行docker logs clawbot日志里通常会明确提示错误比如cannot create directory /app/data: Permission denied这就意味着挂载卷权限有问题解决方案是sudo chown -R $USER:$USER ./data docker restart clawbot第三步访问Web界面确认服务就绪打开浏览器访问http://localhost:5000。你会看到一个极简的HTML页面标题是“Clawdbot Dashboard”下方有一个Scan Now按钮和一个API Docs链接。点击API Docs能看到Swagger风格的API文档证明Flask服务已正常监听。此时整个系统已经处于待命状态随时可以接收扫描任务。4.3 首次扫描实战用真实目标验证拒绝“Hello World”式演示我们不扫127.0.0.1因为本地回环的端口信息对新手没有参考价值。我们选择一个公开的、安全的、有明确预期的目标scanme.nmap.org。这是Nmap官方提供的测试靶机专门用于验证扫描工具。第一步发起扫描任务在终端执行docker exec -it clawbot clawbot scan --target scanme.nmap.org --ports 22,80,443,8080--ports指定了四个常见端口。scanme.nmap.org的预期开放端口是22SSH、80HTTP、443HTTPS8080是故意加的用来验证“未开放端口”的报告是否准确。命令执行后你会看到类似[INFO] Scan task submitted with ID: 12345的输出说明任务已提交。第二步轮询扫描状态Clawdbot的扫描是异步的不会立即返回结果。我们需要轮询状态watch -n 2 docker exec clawbot clawbot statuswatch命令会每2秒执行一次clawbot status显示当前任务队列和最近一次扫描的完成时间。当看到status: completed时按CtrlC退出。第三步提取并分析结果现在我们用API获取结果curl -s http://localhost:5000/api/v1/results?limit100 | jq [.[] | select(.ip scanme.nmap.org)]这条命令做了两件事一是用curl获取所有结果二是用jq过滤出IP为scanme.nmap.org的记录。你应该看到类似这样的输出[ { ip: scanme.nmap.org, port: 22, service: ssh, version: OpenSSH 6.6.1p1 Ubuntu-2ubuntu2.13 }, { ip: scanme.nmap.org, port: 80, service: http, version: Apache httpd 2.4.7 ((Ubuntu)) } ]完美匹配Nmap官方文档描述。这证明你的OpenClaw不仅跑起来了而且能准确识别服务版本。这种“可验证的正确性”比任何文字描述都更有说服力。4.4 数据持久化与日常维护让系统真正成为你的工作台数据备份一行命令永不丢失所有扫描数据都在./data/clawbot.db这个SQLite文件里。备份它就是备份你的全部资产信息cp ./data/clawbot.db ./data/clawbot_backup_$(date %Y%m%d_%H%M%S).db这条命令会生成一个带时间戳的备份文件比如clawbot_backup_20241025_143022.db。SQLite是单文件数据库复制即备份没有任何锁或一致性风险。容器更新无缝切换新版本当OpenClaw发布新版本时更新极其简单docker pull ghcr.io/openclaw/clawbot:lite docker stop clawbot docker rm clawbot docker run -d --name clawbot -p 5000:5000 -v $(pwd)/data:/app/data ghcr.io/openclaw/clawbot:lite四条命令30秒内完成。由于数据目录./data是挂载的旧版本的数据库会自动被新版本读取无需任何迁移操作。这是Docker赋予的天然优势。日志分析读懂系统在想什么当扫描结果不符合预期时第一反应不应该是重装而是看日志docker logs clawbot --tail 100 -f--tail 100显示最后100行-f表示实时跟踪。日志里会详细记录Masscan的发包过程、Nmap的服务探测细节、以及SQLite的写入操作。比如如果看到[ERROR] Nmap failed for 192.168.1.100: timeout你就知道是目标主机响应太慢需要调整Nmap的--max-retries参数而不是怀疑Clawdbot坏了。5. 常见问题与排查技巧实录来自27次真实部署的避坑笔记5.1 “openclaw: command not found” —— 不是命令错了是路径没生效现象在宿主机终端输入openclaw scan报错command not found。真相openclaw命令只存在于Docker容器内部宿主机上根本没有安装这个二进制。这是一个典型的“环境混淆”错误。新手常误以为安装Docker就等于安装了OpenClaw其实Docker只是运行环境Clawdbot是运行在环境里的应用。正解所有Clawdbot命令必须通过docker exec进入容器执行。正确的写法永远是docker exec -it clawbot clawbot scan ...记住clawbot是容器名clawbot第二个是容器内的可执行文件名。大小写和空格都不能错。我曾见过有人写成docker exec -it clawbot openclaw scan结果当然是command not found因为容器里根本没有叫openclaw的命令。5.2 Web界面打不开但docker ps显示容器在运行现象docker ps看到clawbot状态是Up 5 minutes但浏览器访问http://localhost:5000显示Connection refused。排查链路检查端口映射是否生效docker port clawbot应输出5000/tcp - 0.0.0.0:5000。如果不是说明启动时-p参数没生效需重启容器。检查容器内服务是否监听docker exec clawbot netstat -tuln | grep :5000应看到LISTEN状态。如果没有说明Flask服务没起来看docker logs clawbot找错误。检查宿主机防火墙sudo ufw statusUbuntu/Kali如果显示Status: active则运行sudo ufw allow 5000放行端口。终极方案如果以上都无效直接用curl测试容器内网docker exec clawbot curl -s http://localhost:5000 | head -10如果这行命令能返回HTML内容证明服务正常问题一定出在宿主机网络层如果返回curl: (7) Failed to connect那才是容器内服务故障。5.3 扫描结果为空或只返回IP不返回服务信息现象API返回的JSON里service字段是空字符串或者version字段是unknown。根因分析这是Nmap服务识别失败的典型表现。Clawdbot的scan_strategy: safe模式会自动添加-sV --version-intensity 3参数但如果目标主机禁用了ICMP、或防火墙丢弃了Nmap的探测包识别就会失败。实操对策第一步确认目标可达docker exec clawbot ping -c 3 scanme.nmap.org确保网络通畅。第二步手动运行Nmap验证docker exec -it clawbot nmap -sV -p 22,80 scanme.nmap.org看原生Nmap能否识别。如果原生Nmap也失败说明是目标或网络问题不是Clawdbot的锅。第三步增强识别强度编辑./data/config.yaml在scan_strategy: safe下面添加nmap_args: [-sV, --version-intensity, 7, --script, banner]version-intensity 7是Nmap最高强度识别会发送更多探测包成功率显著提升。但代价是扫描时间变长所以只在必要时启用。5.4 Docker启动报错“port is already allocated”但netstat查不到占用进程现象docker run报错Bind for 0.0.0.0:5000 failed: port is already allocated但sudo netstat -tuln | grep :5000和sudo lsof -i :5000都返回空。隐藏真相这是Docker DesktopWindows/macOS的常见Bug。Docker Desktop的WSL2后端有时会残留一个“幽灵端口”它不被系统级工具识别但会阻止Docker绑定。闪电解决Windows用户以管理员身份打开PowerShell运行netsh interface ipv4 set dynamicport tcp start49152 num16384 wsl --shutdown然后重启Docker Desktop。macOS用户在终端运行sudo lsof -iTCP:5000 -sTCP:LISTEN如果返回COMMAND PID USER FD TYPE DEVICE SIZE/OFF NODE NAME但没有具体进程说明是Docker Desktop的socket残留直接重启Docker Desktop即可。这个方案比网上流传的“改系统端口范围”或“重装Docker”快十倍且零风险。5.5 扫描速度慢得离谱100个IP要扫一小时现象对一个/24网段256个IP扫描预计几分钟完成结果跑了47分钟。性能瓶颈定位Clawdbot的扫描速度90%由Masscan决定而Masscan的速度80%由--rate参数和网络延迟决定。默认的safe策略将--rate设为1000但在高延迟网络如跨省、跨国下这个值会导致大量重传。提速秘籍动态调优先用小范围测试docker exec clawbot masscan -p22,80 192.168.1.1-10 --rate 5000 --excludefile /app/data/exclude.txt -oG - | wc -l看每秒能收到多少行响应。如果wc -l结果远小于--rate值说明网络跟不上需降低--rate。精准排除在./data/exclude.txt里添加已知的无效IP段如192.168.1.1是网关192.168.1.255是广播地址减少无效扫描。硬件直通如果宿主机是物理机确保Docker使用的是host网络模式--network host避免NAT层转发损耗。但这会牺牲端口映射的便利性需权衡。6. 进阶思考当“最简”成为习惯下一步该往哪里走这套最简部署不是终点而是一个稳固的起点。当你已经能熟练地docker run、docker exec、curlAPI并且理解了config.yaml里那三行配置的意义时系统对你而言就不再是黑盒而是一块可塑的乐高积木。下一步你可以根据自己的真实需求选择任意一个方向自然延伸而不会感到突兀或恐惧。如果你是渗透测试人员下一步自然是集成到你的工作流里。Clawdbot的API设计得非常RESTful你可以用Python写一个简单的脚本每天凌晨自动扫描你的测试网段把结果推送到企业微信或钉钉群。脚本核心就三行requests.post触发扫描time.sleep等待requests.get取结果。这比学Zabbix的告警规则简单多了。如果你是安全运营工程师下一步是对接现有SIEM。Clawdbot的SQLite数据库结构是公开的SELECT * FROM hosts;就能拿到所有资产。你可以用Logstash的JDBC插件定时把clawbot.db里的新记录同步到Elasticsearch里和你的防火墙日志、WAF日志放在同一个Kibana里分析。这不需要改Clawdbot一行代码纯粹是外围集成。如果你是开发者下一步是定制化技能Skill。Clawdbot的skill机制允许你用Python写一个函数比如check_cve_2023_1234.py它能自动调用NVD API检查扫描到的Apache版本是否存在已知漏洞。把这个文件放到./data/skills/目录下Clawdbot下次扫描时就会自动加载并执行它。这比从零写一个漏洞扫描器门槛低了两个数量级。我个人在实际使用中发现最大的价值提升往往来自于最朴素的改动把config.yaml里的scan_strategy: safe换成scan_strategy: custom然后在下面加上几行自定义的Masscan和Nmap参数。比如针对内网环境我加了--ping参数让Masscan先发ICMP探测过滤掉关机的机器针对云服务器我加了--source-port 53让发包源端口是DNS端口绕过某些云厂商的UDP限速。这些参数没有文档会教你但当你亲手调过十次之后你就成了那个能写出“最适合你环境的Clawdbot”的人。这才是“保姆级教程”真正想传递的东西——不是让你照着做而是让你有底气去改写它。
核心概念与实践指南)
