OpenClaw Docker（可选）

大家好，我是讯享网，很高兴认识大家。这里提供最前沿的Ai技术和互联网信息。

Docker 是可选的。仅当你想要容器化的 Gateway 网关或验证 Docker 流程时才使用它。

是：你想要一个隔离的、可丢弃的 Gateway 网关环境，或在没有本地安装的主机上运行 OpenClaw。
否：你在自己的机器上运行，只想要最快的开发循环。请改用正常的安装流程。
沙箱注意事项：智能体沙箱隔离也使用 Docker，但它不需要完整的 Gateway 网关在 Docker 中运行。参阅沙箱隔离。

本指南涵盖：

容器化 Gateway 网关（完整的 OpenClaw 在 Docker 中）
每会话智能体沙箱（主机 Gateway 网关 + Docker 隔离的智能体工具）

沙箱隔离详情：沙箱隔离

Docker Desktop（或 Docker Engine）+ Docker Compose v2
足够的磁盘空间用于镜像 + 日志

从仓库根目录：

此脚本：

构建 Gateway 网关镜像
运行新手引导向导
打印可选的提供商设置提示
通过 Docker Compose 启动 Gateway 网关
生成 Gateway 网关令牌并写入

可选环境变量：

— 在构建期间安装额外的 apt 包
— 添加额外的主机绑定挂载
— 在命名卷中持久化

完成后：

在浏览器中打开。
将令牌粘贴到控制 UI（设置 → token）。
需要再次获取带令牌的 URL？运行。

它在主机上写入配置/工作区：

在 VPS 上运行？参阅 Hetzner（Docker VPS）。

GPT plus 代充 只需 145

注意：从仓库根目录运行。如果你启用了或，设置脚本会写入；在其他地方运行 Compose 时包含它：

如果你看到"unauthorized"或"disconnected (1008): pairing required"，获取新的仪表板链接并批准浏览器设备：

GPT plus 代充 只需 145

更多详情：仪表板，设备。

如果你想将额外的主机目录挂载到容器中，在运行之前设置。这接受逗号分隔的 Docker 绑定挂载列表，并通过生成将它们应用到和。

示例：

注意：

路径必须在 macOS/Windows 上与 Docker Desktop 共享。
如果你编辑，重新运行以重新生成额外的 compose 文件。
是生成的。不要手动编辑它。

如果你想让在容器重建后持久化，通过设置一个命名卷。这会创建一个 Docker 卷并将其挂载到，同时保持标准的配置/工作区绑定挂载。这里使用命名卷（不是绑定路径）；对于绑定挂载，使用。

示例：

GPT plus 代充 只需 145

你可以将其与额外挂载结合使用：

注意：

如果你更改，重新运行以重新生成额外的 compose 文件。
命名卷会持久化直到使用删除。

如果你需要镜像内的系统包（例如构建工具或媒体库），在运行之前设置。这会在镜像构建期间安装包，因此即使容器被删除它们也会持久化。

示例：

GPT plus 代充 只需 145

注意：

这接受空格分隔的 apt 包名称列表。
如果你更改，重新运行以重建镜像。

默认的 Docker 镜像是安全优先的，以非 root 的用户运行。这保持了较小的攻击面，但这意味着：

运行时无法安装系统包
默认没有 Homebrew
没有捆绑的 Chromium/Playwright 浏览器

如果你想要功能更完整的容器，使用这些选择加入选项：

持久化 以便浏览器下载和工具缓存能够保留：

将系统依赖烘焙到镜像中（可重复 + 持久化）：

GPT plus 代充 只需 145

不使用安装 Playwright 浏览器（避免 npm 覆盖冲突）：

如果你需要 Playwright 安装系统依赖，使用重建镜像，而不是在运行时使用。

持久化 Playwright 浏览器下载：

在中设置。
确保通过持久化，或通过挂载。

镜像以（uid 1000）运行。如果你在上看到权限错误，确保你的主机绑定挂载由 uid 1000 拥有。

示例（Linux 主机）：

GPT plus 代充 只需 145

如果你选择以 root 运行以方便使用，你接受了安全权衡。

要加速重建，排序你的 Dockerfile 以便依赖层被缓存。这避免了除非锁文件更改否则重新运行：

使用 CLI 容器配置渠道，然后在需要时重启 Gateway 网关。

WhatsApp（QR）：

GPT plus 代充 只需 145

Telegram（bot token）：

Discord（bot token）：

GPT plus 代充 只需 145

文档：WhatsApp，Telegram，Discord

如果你在向导中选择 OpenAI Codex OAuth，它会打开浏览器 URL 并尝试在捕获回调。在 Docker 或无头设置中，该回调可能显示浏览器错误。复制你到达的完整重定向 URL 并将其粘贴回向导以完成认证。

GPT plus 代充 只需 145

Gateway 网关绑定默认为用于容器使用。
Dockerfile CMD 使用；挂载的配置如果不是仍会启动。覆盖 CMD 以强制执行检查。
Gateway 网关容器是会话的真实来源（）。

深入了解：沙箱隔离

当启用时，非主会话在 Docker 容器内运行工具。Gateway 网关保持在你的主机上，但工具执行是隔离的：

scope：默认为（每个智能体一个容器 + 工作区）
scope：用于每会话隔离
每作用域工作区文件夹挂载在
可选的智能体工作区访问（）
允许/拒绝工具策略（拒绝优先）
入站媒体被复制到活动沙箱工作区（），以便工具可以读取它（使用时，这会落在智能体工作区中）

警告：禁用跨会话隔离。所有会话共享一个容器和一个工作区。

如果你使用多智能体路由，每个智能体可以覆盖沙箱 + 工具设置：和（加上）。这让你可以在一个 Gateway 网关中运行混合访问级别：

完全访问（个人智能体）
只读工具 + 只读工作区（家庭/工作智能体）
无文件系统/shell 工具（公共智能体）

参阅多智能体沙箱与工具了解示例、优先级和故障排除。

镜像：
每个智能体一个容器
智能体工作区访问：（默认）使用
- 保持沙箱工作区在并将智能体工作区只读挂载在（禁用 //）
- 将智能体工作区读写挂载在
自动清理：空闲 > 24h 或年龄 > 7d
网络：默认为（如果需要出站则明确选择加入）
默认允许：、、、、、、、、、
默认拒绝：、、、、、

如果你计划在中安装包，请注意：

默认是（无出站）。
阻止包安装。
必须是 root 才能运行（省略或设置）。当（或 docker 配置）更改时，OpenClaw 会自动重建容器，除非容器是最近使用的（在约 5 分钟内）。热容器会记录警告，包含确切的命令。

GPT plus 代充 只需 145

加固选项位于下：、、、、、、、、、、。

多智能体：通过按智能体覆盖（当 / 是时忽略）。

这使用构建。

如果你想要一个带有常见构建工具（Node、Go、Rust 等）的沙箱镜像，构建通用镜像：

GPT plus 代充 只需 145

这构建。要使用它：

要在沙箱内运行浏览器工具，构建浏览器镜像：

GPT plus 代充 只需 145

这使用构建。容器运行启用 CDP 的 Chromium 和可选的 noVNC 观察器（通过 Xvfb 有头）。

注意：

有头（Xvfb）比无头减少机器人阻止。
通过设置仍然可以使用无头模式。
不需要完整的桌面环境（GNOME）；Xvfb 提供显示。

使用配置：

自定义浏览器镜像：

GPT plus 代充 只需 145

启用后，智能体接收：

沙箱浏览器控制 URL（用于工具）
noVNC URL（如果启用且 headless=false）

记住：如果你使用工具允许列表，添加（并从拒绝中移除它）否则工具仍然被阻止。清理规则（）也适用于浏览器容器。

构建你自己的镜像并将配置指向它：

GPT plus 代充 只需 145

优先于。
如果为空：所有工具（除了 deny）都可用。
如果非空：只有中的工具可用（减去 deny）。

两个选项：

：移除 X 小时未使用的容器（0 = 禁用）
：移除超过 X 天的容器（0 = 禁用）

示例：

保留繁忙会话但限制生命周期：、
永不清理：、

硬隔离仅适用于工具（exec/read/write/edit/apply_patch）。
仅主机工具如 browser/camera/canvas 默认被阻止。
在沙箱中允许 会破坏隔离（浏览器在主机上运行）。

镜像缺失：使用构建或设置。
容器未运行：它会按需为每个会话自动创建。
沙箱中的权限错误：将设置为与你挂载的工作区所有权匹配的 UID:GID（或 chown 工作区文件夹）。
找不到自定义工具：OpenClaw 使用（登录 shell）运行命令，这会 source 并可能重置 PATH。设置以在前面添加你的自定义工具路径（例如），或在你的 Dockerfile 中在下添加脚本。

OpenClaw Docker（可选）

相关推荐