引言：为什么选择 Docker 部署？

到了2026年，容器化早已不是新鲜事，Docker几乎成了应用部署的代名词。对于OpenClaw这类AI智能体平台来说，用Docker来部署，其实有几个非常实在的好处：

• 环境隔离：不用担心各种依赖打架，能保证运行环境的一致性——这一点在实际运维中太重要了。
• 快速部署：一键就能拉起完整的OpenClaw环境，省去了繁琐的手动配置过程。
• 安全执行：通过袋里沙箱，对工具执行过程做了严格的隔离，安全感拉满。
• 灵活扩展：想接入多个渠道，或者做自动化场景，都很方便。

直接进入正题。下面会详细拆解OpenClaw的两种主流Docker使用模式，从快速启动到生产优化，争取一步到位。

第一部分：部署决策指南

1.1 何时使用 Docker？

推荐使用 Docker 的场景：

• 想要一个干净、用完就能扔的开发或测试环境？用Docker最合适。
• 在服务器或受限主机上运行OpenClaw，不方便做全局安装——Docker是天然的选择。
• 需要对工具执行做严格隔离，哪怕网关本身运行在宿主机上——照样可以用Docker沙箱解决。

不推荐使用 Docker 的场景：

• 如果你的目标是个人开发机上的最快迭代速度，那还是走标准本地安装更直接。

必须清楚的一点：即使网关跑在宿主机上，只要打开了“袋里沙箱”（Agent Sandbox），工具的执行依然会通过Docker完成隔离。所以，Docker并不是非得搞全容器化部署才用得上。

1.2 系统要求

• Docker 环境：macOS或Windows上用Docker Desktop，Linux上直接用Docker Engine就行。
• Docker Compose：需要v2版本。
• 内存：至少2GB。如果只有1GB内存，构建过程很容易因为内存不足而失败——这是个容易踩的坑。
• 磁盘空间：要能装下镜像和日志。
• 安全考虑：如果部署在公网VPS上，一定要配置好DOCKER-USER防火墙策略，别图省事。

第二部分：快速启动 - 容器化网关

2.1 一键部署脚本

从项目的根目录运行下面这行命令就行：

./docker-setup.sh

这个脚本会自动完成：

1. 构建本地镜像（如果设置了OPENCLAW_IMAGE，则会拉取远程镜像）。
2. 启动首次配置向导。
3. 生成访问令牌并写入.env文件。
4. 通过Docker Compose启动网关服务。

搞定之后，打开浏览器访问 http://127.0.0.1:18789，输入令牌就能看到控制界面了。

2.2 常用环境变量配置

所有配置修改后，记得重新跑一遍 docker-setup.sh才能生效。

环境变量	说明	默认值
OPENCLAW_IMAGE	指定使用的镜像	ghcr.io/openclaw/openclaw:latest
OPENCLAW_PORT	网关服务端口	18789
OPENCLAW_HOME	配置目录	~/.openclaw

第三部分：袋里沙箱 - 安全执行的核心

3.1 袋里沙箱的核心特性

即使网关是在宿主机上跑的，你也可以为每个袋里（Agent）开启Docker沙箱。这样一来，工具执行的隔离就很彻底了。

几个关键特性：

• 作用域：支持agent（默认，每个袋里独立沙箱）、session（每次会话都新建一个）或shared（共享，不推荐）。
• 工作区隔离：工具会在/workspace里运行；你可以选择只读，或者允许读写袋里的主工作区。
• 网络限制：默认没有外网访问（network: none），当然也可以按需配置DNS或hosts。
• 资源限制：CPU、内存、进程数、文件描述符都能设上限。
• 自动清理：空闲超过24小时，或者创建超过7天的容器，会被自动删除——这点很省心。

3.2 启用袋里沙箱

export OPENCLAW_SANDBOX=1
./docker-setup.sh

系统会自动配好沙箱参数，并且挂载Docker套接字（前提是沙箱已启用且前置条件满足）。

默认的沙箱镜像：openclaw-sandbox:bookworm-slim

管理沙箱镜像有两种方式：

• 本地构建：用scripts/sandbox-setup.sh。
• 用预置镜像：有通用镜像，也有浏览器专用镜像。

第四部分：高级配置与优化

4.1 浏览器工具支持

如果你需要在沙箱里跑浏览器（比如做自动化网页操作），那就需要单独构建一个专用镜像：

scripts/sandbox-browser-setup.sh

这个镜像基于Xvfb提供有头Chromium，支持的功能挺全的：

• CDP调试
• noVNC远程观察
• WebGL支持
• 扩展管理
• 渲染进程限制调整

4.2 持久化与性能优化

持久化配置：

# 保留 Playwright 浏览器缓存、npm 全局包等
export OPENCLAW_HOME_VOLUME=/path/to/persistent/storage

# 把依赖固化到镜像里，避免每次重建都重新下载
export OPENCLAW_DOCKER_APT_PACKAGES="python3-pip nodejs"

# 复用浏览器二进制文件，省时间
export PLAYWRIGHT_BROWSERS_PATH=/path/to/browsers

4.3 权限问题处理

容器默认以UID 1000（node用户）运行。如果你挂载的主机目录权限不对，需要手动调整：

sudo chown -R 1000:1000 ~/.openclaw

第五部分：安全与运维最佳实践

5.1 网络与隔离策略

网络架构：

• CLI和网关共享网络命名空间（network_mode: service:openclaw-gateway），可以看作是在同一个信任边界内。
• 生产环境里，建议从独立的容器调用CLI，而不是用内置的服务。

安全加固：

• 沙箱容器默认禁用了 NET_RAW、NET_ADMIN。
• 启用了 no-new-privileges 限制。
• 公网部署时，一定要配好DOCKER-USER防火墙策略。

5.2 健康检查与监控

健康检查端点：

• /healthz：检查进程是否存活。
• /readyz：检查服务是否就绪（会等待渠道连接完成）。

自动恢复：

• 内置了HEALTHCHECK指令，Docker可以自动重启异常的容器。

5.3 日志与存储管理

数据持久化：

• 配置和工作区通过绑定挂载持久化到 ~/.openclaw/。
• 沙箱的临时文件用的是tmpfs，容器一销毁，这些文件就自动清理了。

需要重点盯的：

• 媒体文件的增长情况。
• 会话记录的累积。
• transcript日志的大小。

第六部分：其他实用功能

6.1 多渠道集成

通过CLI容器，一键就能配置WhatsApp、Telegram、Discord这些渠道：

# 在 CLI 容器中运行配置命令
docker exec -it openclaw-cli openclaw gateway setup

6.2 CI/自动化支持

用 -T 参数禁用TTY，适配脚本和流水线：

./docker-setup.sh -T

6.3 Shell 快捷命令

安装ClawDock工具集后，会有几个很方便的命令：

# 启动 OpenClaw
clawdock-start
# 停止 OpenClaw  
clawdock-stop
# 查看状态
clawdock-status

6.4 手动部署流程

也支持直接用 docker build + docker compose 的流程，适合需要定制化的场景：

# docker-compose.yml 示例
version: '3.8'
services:
  openclaw-gateway:
    image: ghcr.io/openclaw/openclaw:latest
    ports:
      - "18789:18789"
    volumes:
      - ~/.openclaw:/root/.openclaw
    environment:
      - OPENCLAW_SANDBOX=1
    restart: unless-stopped

第七部分：生产环境部署建议

7.1 架构设计

推荐的生产架构：

[用户] → [负载均衡器] → [OpenClaw 网关集群] → [袋里沙箱池]
                             ↓
                    [外部服务/API]

7.2 性能调优

资源配置参考：

• 网关容器：2个CPU，4GB内存。
• 沙箱容器：1个CPU，2GB内存（可以根据工具的实际需求调整）。
• 数据库：用独立的PostgreSQL实例。

缓存策略：

• 浏览器二进制文件可以共享存储。
• npm/yarn的全局包缓存起来。
• 如果适用，AI模型也可以做缓存。

7.3 监控与告警

关键指标：

• 容器的CPU和内存使用率。
• 沙箱创建和销毁的频率。
• API的响应时间。
• 错误率统计。

日志收集：

• 可以集成ELK Stack或者Loki/Promtail。
• 输出结构化的日志。
• 记得做敏感信息脱敏。

总结与最佳实践

Docker给OpenClaw提供了非常灵活的选择：既可以当轻量级的开发沙箱，也能搭出隔离性很强的生产环境。关键是合理搭配容器化网关和袋里沙箱，才能在安全性、便利性和性能之间找到最佳平衡点。

最佳实践总结：

1. 开发环境：用完整的容器化网关加袋里沙箱，快速验证功能。
2. 生产环境：网关跑在宿主机上，配合袋里沙箱，兼顾性能和安全。
3. 安全第一：始终打开袋里沙箱，限制网络访问，定期更新镜像。
4. 监控到位：配好健康检查，盯着资源使用情况，设置告警阈值。
5. 备份策略：定期备份 ~/.openclaw 目录，确保配置和数据安全。

官方资源：

• 官方镜像地址：ghcr.io/openclaw/openclaw
• 完整文档：https://docs.openclaw.ai/install/docker

按照这份指南，应该能顺利部署好OpenClaw的Docker环境，然后根据自己的需求去做优化和扩展。说到底，容器化部署的核心价值就是一致性、隔离性和可重复性——把这些优势用到位，你就能得到一个稳定可靠的AI智能体平台。