一、这周，路由器Docker的"权限墙"被摆到了明面上
8月31日，一份公开的踩坑记录把小米路由器BE10000 Pro推到了HomeLab圈的聚光灯下：完全按教程部署alist镜像，到创建容器的最后一步被插件拒绝授权，报错原文是`authorization denied by plugin opa-docker-authz: request rejected by administrative policy`，给出的解法是去小米社区入口申请放行。知乎
这条报错翻译过来就是：官方Docker通道里挂着一个Open Policy Agent（OPA）授权插件，容器创建请求要先过管理员策略，绝大多数第三方镜像默认被拦在墙外。不是路由器跑不了Docker，是跑之前得看白名单脸色。
另一头也传来消息。B站UP主"卡卡的鼓捣日记"3月发布的《小米路由器解锁SSH+玩转Docker保姆级教程》，播放已超11.3万、收藏2888，UP主置顶评论说得直白：小米万兆、小米7000等中高端路由器虽然官方支持Docker，但限制过多，绝大多数应用都无法使用，所以才要解锁SSH装全功能Docker。哔哩哔哩
可评论区最近开始出现新的报错帖：解锁工具xmir，下载软件后第一步就失败了，arn_switch、get_icon等exploit提示not working、API not found——SSH解锁的入口，正在被新固件逐个堵上。哔哩哔哩
官方通道上锁，民间入口封堵。HomeLab玩家手里那块"白送的算力"，现在得重新掂量了。
二、往前翻四年：路由器Docker一直是"给了又收"
把时间线拉出来，这不是新剧本：
2022年底，小米万兆路由器首发官方Docker，官方的宣传语是给发烧友提供更广阔的探索空间。微博 硬件配置是4核2.2GHz A73、2GB内存、万兆光口+万兆电口+4个2.5G网口，当年评测的说法是5000元以下基本上找不到更好的。微博 但同年微博上就有用户记下踩坑链：开Docker必须先挂外接存储，存储要手动格式化成EXT4，空间还必须大于32G——“32G的U盘永远不会大于32G”，最后是拿相机SD卡才把功能点亮。微博
2025年9月，BE10000 Pro首批用户吐槽：软件层面支持NTFS、FAT32、exFAT、EXT4等主流格式，但想用Docker，EXT4得提前在别的电脑上格好，因为机器自己不支持格式化内置硬盘，而且Docker管理器还是第三方的。微博
2026年8月3日，中兴问天7200Pro+的容器Docker初体验上线——品牌路由器卷容器这件事，不止小米一家在做。哔哩哔哩
2026年8月31日，OPA权限墙的报错记录公开。
四年下来趋势很清楚：硬件算力早就过剩（四核A73跑路由纯属大材小用），软件权限却一年比一年收紧。
三、为什么厂商把墙砌起来：路由器在和NAS抢饭碗
其实圈内早就看破过这层窗户纸：路由器Docker如果做得好用，那NAS就没什么多大作用了。微博
对照最近的动作更有意思。8月27日，小米首款NAS产品"Xiaomi智能存储"正式开售，2699元起，定位是给普通家庭准备的"数据保险箱"。知乎 而在圈里围绕它吵得最凶的点恰恰是：ARM架构不能刷机不能Docker，成了NAS玩家眼中的电子垃圾，却是小白用户的入门神器？哔哩哔哩
两台设备放在一起，厂商的完整意图就浮出来了：路由器的Docker只放行lucky、wireguard这类轻量网络插件——补官方固件的功能短板；重应用、内容库、折腾权，留给自家NAS。OPA那堵墙不是漏洞，是产品线之间的边界线。
四、硬币的另一面：刷机OpenWrt的潮水也在退
路由器Docker的争议，撞上的恰好是刷机退潮。6月B站一条《为什么现在越来越多人不刷OpenWrt了？》播到15.9万、点赞1944，评论区几乎是一份现成的现状报告：
高通方案无线驱动闭源，玩机的抱怨是开源驱动残废、芯片支持只能靠SDK泄露，真正好刷的还是联发科7981/7986这批平台和京东云。哔哩哔哩
社区总结的"最终归宿"被反复置顶：路由佬的最终归宿都是主路由硬路由、旁路由软路由，拿软路由做主路由的，万一BOOM了等着被家里人怼。
也有反面教训钉在同一份评论区：小米万兆加四台mesh，80来个WiFi设备就开始频繁掉线，最后靠软路由接管万兆做AP才解决。
而NAS阵营已经在明牌抢这个生态位：飞牛3月官方发布QWRT应用一键装进飞牛，标题直接写"不用买软路由了"，B站13.8万播放、4888赞，小红书同步933赞、731收藏。哔哩哔哩 插件的战场没消失，只是从路由器那2G内存的小盒子，搬进了x86 NAS的大机器。
五、四条路，把账算清
先说结论性的分界：没有强烈的备份或折腾需求，别硬上任何一台新设备；确实有热备份需求、要24小时开机、或者真想折腾，再考虑入坑——这句话同样适用于路由器、旁路和NAS之间的选择。知乎
路线 | 直接成本 | 能力边界 | 适合谁 | 主要坑 |
|---|---|---|---|---|
官方路由器Docker（小米BE系/中兴问天） | 0元，用已有设备 | OPA白名单，alist这一步已实测被拦 | 只跑lucky、wireguard等1-2个网络插件 | 固件更新"以年为单位"；主路由跑应用，崩了全家断网 |
解锁SSH+全功能Docker | 0元，有保修风险 | 取决于机器内存（512MB~2GB） | 手持老固件、就要在路由器上折腾的人 | xmir解锁入口正在被新固件封堵，报错帖已出现 |
刷OpenWrt/ImmortalWrt | 0元，有变砖风险 | 联发科7981系、京东云成熟；高通WiFi7基本免谈 | 坚持刷机的存量玩家 | 闭源驱动、断流争议，人群在缩小 |
飞牛QWRT / NAS虚拟机旁路 | 设备已有≈0新增 | x86算力碾压，多容器随便开 | alist、媒体库、一堆容器的重度玩家 | 全屋网络挂在NAS上，NAS宕机=断网；社区共识是硬路由守主路由位 |
单买一台小主机/旁路由盒子 | 数百元起 | 最独立、最稳 | 新入坑、求省心党 | 正值内存/硬盘涨价周期，掏钱最心疼 |
顺带一提"洋垃圾"选项：8月30日一条100元捡漏buffalo WXR-11000XE12万兆路由的拆机视频有6.1万播放，博通BCM4916四核+2GB内存看着很香，但评论区的劝退记录同样是现成的：博通发热大、第三方固件无望——体验玩具，不顶主力。哔哩哔哩
六、结论与继续盯的三个信号
按人群收口：
只跑网络小插件、手里正好是小米万兆/BE系列或中兴问天：先走官方Docker通道，撞上OPA墙再去社区申请放行，不值得为这个单独折腾解锁；
要跑alist、内容库、十个以上容器：别难为路由器，飞牛QWRT或NAS虚拟机当旁路才是社区已经投票的共识，主路由留官方固件、零应用；
全家网络优先、家里只有你懂技术：路由器越"没存在感"越好，80设备掉线那种教训，本质是拿全家的网赌折腾欲；
WiFi7路由器还没买的：先把芯片方案问清楚（联发科还是高通），这条决定你以后还有没有"刷机"这个退路。
接下来盯三个信号：
xmir解锁工具的失效范围会不会继续扩大——评论区报错数量，就是官方封堵决心的温度计；
中兴问天的容器Docker会不会补上同款权限墙——品牌路由器的"半开放"模式能不能撑住第二家；
小米智能存储的下一个固件版本会不会松动——ARM NAS禁Docker、路由器Docker限白名单，这个边界哪边先动，就说明厂商觉得家庭算力该沉到哪台设备上。
内存和硬盘都在高位的这个秋天，"先榨干手里设备"比"加一台新机"更香，也更难——难就难在，白送的算力从来都标着价。
