保姆级教程：Docker+云端及本地部署OpenClaw+常见问题和避坑指南

OpenClaw的强大源于其无边界的任务执行能力，但这也带来了潜在安全风险——Clawhub上海量未知Skill可能暗藏隐患，过高的系统权限可能导致隐私泄露或误操作。2026年，Docker容器化部署成为OpenClaw的安全首选方案，通过“沙盒隔离”将其限制在独立环境中，既不影响宿主机系统，又能快速清理异常。

OpenClawo.png

本文将完整拆解2026年OpenClaw的阿里云Docker部署与本地（Windows/Mac）Docker部署步骤，深度解析部署过程中4大核心坑的解决方案，融入容器安全加固配置，包含可直接复制的代码命令，助力用户安全落地OpenClaw。阿里云上OpenClaw极速一键部署最简单，步骤详情 访问阿里云OpenClaw一键部署专题页面了解。

OpenClaw1.png

OpenClaw02.png

一、核心认知：Docker部署OpenClaw的安全价值

Docker部署OpenClaw的核心优势在于“隔离与可控”，完美解决裸奔部署的安全痛点：

环境隔离：容器内操作不影响宿主机，Skill异常或恶意指令无法突破容器边界；
快速重置：出现安全问题可直接删除容器/镜像，3分钟重建部署环境；
跨平台复用：一次构建镜像，可在阿里云、Windows（WSL2）、Mac上通用；
权限收敛：通过容器配置限制资源占用、网络访问，遵循“最小特权原则”。

2026年OpenClaw连续发布安全加固版本，对网关访问、设备配对等做了严格限制，虽提升安全性，但也导致Docker部署出现新坑，需针对性解决。

二、2026年OpenClaw双Docker部署流程（含安全加固）

方案一：阿里云Docker部署（生产环境安全首选）

依托阿里云ECS/轻量应用服务器，2026版部署方案优化了容器网络隔离、密钥管理，适配Ubuntu 22.04 LTS系统，支持7×24小时稳定运行，适合长期安全使用。

（一）部署前置准备

阿里云账号：注册阿里云账号，完成实名认证，无欠费记录；
服务器配置：推荐2vCPU+4GiB内存+40GiB ESSD（满足容器运行与安全隔离）；
工具准备：SSH工具（FinalShell/Xshell）、Docker、Docker Compose；
核心凭证：阿里云百炼API-Key（访问订阅阿里云百炼Coding Plan，AI推理能力调用）。

（二）详细部署步骤

新手零基础阿里云上部署OpenClaw喂饭级步骤流程

第一步：访问阿里云OpenClaw一键部署专题页面，找到并点击【一键购买并部署】。

OpenClaw1.png

OpenClaw02.png

OpenClaw2.png

第二步：选购阿里云轻量应用服务器，配置参考如下：

镜像：OpenClaw(Moltbot)镜像（已经购买服务器的用户可以重置系统重新选择镜像）
实例：内存必须2GiB及以上。
地域：默认美国（弗吉尼亚），目前中国内地域（除香港）的轻量应用服务器，联网搜索功能受限。
时长：根据自己的需求及预算选择。

第三步：访问阿里云百炼大模型控制台，找到密钥管理，单击创建API-Key。

前往轻量应用服务器控制台，找到安装好OpenClaw的实例，进入「应用详情」放行18789端口、配置百炼API-Key、执行命令，生成访问OpenClaw的Token。
端口放通：需要放通对应端口的防火墙，单击一键放通即可。
配置百炼API-Key，单击一键配置，输入百炼的API-Key。单击执行命令，写入API-Key。
配置OpenClaw：单击执行命令，生成访问OpenClaw的Token。
访问控制页面：单击打开网站页面可进入OpenClaw对话页面。

服务器初始化与Docker环境安装：
- 登录阿里云控制台，创建轻量应用服务器，选择Ubuntu 22.04镜像，记录公网IP；
- 通过SSH连接服务器：
  ssh root@你的服务器公网IP
- 安装Docker与核心依赖：
  # 更新系统并安装Docker apt update -y && apt upgrade -y apt install -y wget curl git docker.io docker-compose-plugin # 启动Docker并设置开机自启 systemctl start docker systemctl enable docker # 验证Docker环境 docker --version docker compose version
清理旧环境与克隆源码：
# 清除旧OpenClaw环境（如有） rm -rf ~/.openclaw rm -rf OpenClaw # 创建工作目录并克隆源码 mkdir -p OpenClaw/workspace && cd OpenClaw/workspace git clone https://github.com/openclaw/openclaw.git # 若克隆失败，下载源码压缩包（备用） # wget https://github.com/openclaw/openclaw/archive/refs/tags/2026.2.25.zip && unzip 2026.2.25.zip && mv openclaw-2026.2.25 openclaw
授权配置与初始化部署：
cd openclaw # 授权安装脚本 chmod +x docker-setup.sh chmod +x scripts/*.sh # 执行部署脚本（所有配置选择Skip，后续统一设置） ./docker-setup.sh
安全加固配置（核心步骤）：
# 备份并修改配置文件（解决网关启动坑） cd ~/.openclaw cp openclaw.json openclaw.bak.000 # 编辑配置文件，添加安全隔离参数 cat > openclaw.json << EOF { "gateway": { "port": 18789, "mode": "local", "controlUi": { "dangerouslyAllowHostHeaderOriginFallback": true }, "auth": { "token": "$(grep -oP '"token": "K[^"]+' openclaw.bak.000)" }, "network": { "allowedDomains": ["*.aliyuncs.com", "api.openclaw.ai"] # 网络访问白名单 } }, "resources": { "limits": { "cpu": 1, "memory": "2048MB" # 限制容器最大内存占用 } } } EOF
启动容器与端口放行：
# 重启Docker容器 cd ~/OpenClaw/workspace/openclaw docker compose down docker compose up -d # 放行容器端口（仅允许必要端口访问） firewall-cmd --add-port=18789/tcp --permanent firewall-cmd --reload # 查看容器状态（确保openclaw-gateway启动成功） docker compose ps

方案二：本地Docker部署（Windows/Mac，安全调试首选）

本地Docker部署需依赖WSL2（Windows）或原生Docker（Mac），2026版优化了容器与宿主机的网络适配，适合个人安全调试，无需服务器费用。

（一）Windows系统（WSL2+Docker）部署

基础环境准备：
- 启用WSL2：管理员模式PowerShell执行wsl --install，重启电脑；
- 安装Docker Desktop：访问https://www.docker.com/products/docker-desktop/，默认配置安装；
- 验证环境：打开WSL2终端（Ubuntu）：
  docker --version docker compose version git --version
部署步骤（与阿里云一致，适配本地网络）：
# 清理旧环境 rm -rf ~/.openclaw rm -rf OpenClaw # 创建工作目录并克隆源码 mkdir -p OpenClaw/workspace && cd OpenClaw/workspace git clone https://github.com/openclaw/openclaw.git cd openclaw # 授权并执行部署脚本 chmod +x docker-setup.sh chmod +x scripts/*.sh ./docker-setup.sh # 所有配置选择Skip # 备份并修改配置文件 cd ~/.openclaw cp openclaw.json openclaw.bak.000 # 本地版配置（适配WSL2网络） cat > openclaw.json << EOF { "gateway": { "port": 18789, "mode": "local", "controlUi": { "dangerouslyAllowHostHeaderOriginFallback": true }, "auth": { "token": "$(grep -oP '"token": "K[^"]+' openclaw.bak.000)" } } } EOF # 启动容器 cd ~/OpenClaw/workspace/openclaw docker compose down docker compose up -d

（二）Mac系统Docker部署

基础环境准备：
- 安装Homebrew（若未安装）：
  /bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"
- 安装Docker与依赖：
  brew install docker git open -a Docker # 启动Docker Desktop # 验证环境 docker --version docker compose version
部署步骤（与阿里云一致）：
# 清理旧环境 rm -rf ~/.openclaw rm -rf OpenClaw # 创建工作目录并克隆源码 mkdir -p OpenClaw/workspace && cd OpenClaw/workspace git clone https://github.com/openclaw/openclaw.git cd openclaw # 授权并执行部署脚本 chmod +x docker-setup.sh chmod +x scripts/*.sh ./docker-setup.sh # 所有配置选择Skip # 备份并修改配置文件 cd ~/.openclaw cp openclaw.json openclaw.bak.000 # 写入本地配置 cat > openclaw.json << EOF { "gateway": { "port": 18789, "mode": "local", "controlUi": { "dangerouslyAllowHostHeaderOriginFallback": true }, "auth": { "token": "$(grep -oP '"token": "K[^"]+' openclaw.bak.000)" } } } EOF # 启动容器 cd ~/OpenClaw/workspace/openclaw docker compose down docker compose up -d

三、Docker部署4大核心坑解决方案（2026版专属）

（一）坑1：Gateway启动失败（安全加固导致）

现象：Docker Desktop中openclaw-gateway不断重启，日志提示non-loopback Control UI requires gateway.controlUi.allowedOrigins；
原因：2026版OpenClaw增强SSRF防护，严格校验网关访问来源，容器与宿主机网络跳转触发拦截；
解决方案：已在部署步骤中配置dangerouslyAllowHostHeaderOriginFallback: true，若仍失败，执行：
# 重新应用配置并重启 cd ~/OpenClaw/workspace/openclaw docker compose exec openclaw-gateway cp /home/node/.openclaw/openclaw.json /app/.openclaw/ docker compose restart openclaw-gateway

（二）坑2：Gateway Token失效（访问提示未授权）

现象：浏览器访问http://127.0.0.1:18789报错gateway token missing；
原因：docker-setup.sh生成的Token未同步到容器配置文件；
解决方案：

提取配置文件中的有效Token：
# 阿里云/本地通用 TOKEN=$(grep -oP '"token": "K[^"]+' ~/.openclaw/openclaw.json) echo "有效Token：$TOKEN"
浏览器访问控制台，在“概览→网关访问→网关令牌”中粘贴上述Token，点击连接。

（三）坑3：Pairing Required（设备配对失败）

现象：Token验证后提示pairing required，执行docker compose run openclaw devices list报错no such service: openclaw；
原因：容器服务名与命令预期不一致，无法直接查询配对请求ID；
解决方案：

获取Gateway容器名：
CONTAINER_NAME=$(docker compose ps | grep openclaw-gateway | awk '{print $1}') echo "Gateway容器名：$CONTAINER_NAME"
查询配对RequestId：
docker exec -it $CONTAINER_NAME node dist/index.js devices list --token $TOKEN
批准配对（替换为实际RequestId）：
docker compose exec openclaw-gateway node dist/index.js devices approve "你的RequestId" --token $TOKEN

（四）坑4：OpenClaw CLI不断重启（无用服务占用资源）

现象：Docker Desktop中openclaw-cli反复重启，无实际功能；
原因：CLI服务依赖网关Token，且2026版支持Web UI执行命令，CLI服务冗余；
解决方案：通过Profile隐藏冗余服务：
# 编辑docker-compose.yml cd ~/OpenClaw/workspace/openclaw sed -i '/openclaw-cli:/a profiles:n - tools' docker-compose.yml # 重启容器 docker compose down docker compose up -d
重启后openclaw-cli服务不再自动启动，可通过Web UI执行所有CLI命令。

四、Docker容器安全加固进阶配置

（一）资源限制（防止DoS攻击）

# 编辑docker-compose.yml，添加资源限制 sed -i '/openclaw-gateway:/a deploy:n resources:n limits:n cpus: "1"n memory: 2G' docker-compose.yml # 重启生效 docker compose down docker compose up -d

（二）只读文件系统（限制写入权限）

# 仅允许必要目录可写，其他目录设为只读 docker compose down sed -i '/volumes:/a - type: bindn source: ~/.openclaw/workspacen target: /home/node/.openclaw/workspacen read_only: falsen - type: bindn source: ~/.openclaw/confign target: /home/node/.openclaw/confign read_only: true' docker-compose.yml docker compose up -d

（三）网络隔离（仅允许访问必要域名）

# 创建独立Docker网络 docker network create openclaw-network --internal=false # 配置容器仅加入该网络 sed -i '/openclaw-gateway:/a networks:n - openclaw-network' docker-compose.yml # 在openclaw.json中配置域名白名单（已在部署步骤中添加）