OpenClaw Docker部署方案：基于容器隔离与HTTPS的安全实践指南

OpenClaw In Docker 提供了一种类似虚拟机的隔离环境，旨在让你通过一条命令即可运行OpenClaw服务。它不仅集成了安全的用户登录功能，还强制使用HTTPS访问，使得将OpenClaw便捷且安全地开放到互联网成为可能。

该项目已在GitHub开源：

• GitHub 地址: https://github.com/cncfstack/openclaw-in-docker

OpenClaw In Docker 的核心特点包括：

• 运行在类虚拟机的隔离容器中：底层基于 csvm 项目，提供了完整的 systemd 系统服务支持。
• 用户登录功能：通过 OpenResty + Lua 实现了前端登录认证，只有成功登录后才能访问原生的 OpenClaw 管理界面。
• 提供安全的 HTTPS 访问能力：强制使用 HTTPS 协议访问，默认使用 OpenSSL 生成的自签名证书。
• 容器启动即运行基础服务：容器内默认运行了 openclaw、openresty、docker、cron、systemd 等服务。
• 容器预装常用工具：内置了 chromium、playwright 等工具，方便 AI 智能体执行网页操作等任务。
• 独立的 Docker 服务：容器内部运行着一套独立的 Docker Daemon，与宿主机的 Docker 服务完全隔离，互不影响。这种设计在需要容器内调用 Docker 的复杂运维场景下非常有用。

执行下面的命令，拉取镜像并启动容器，OpenClaw 服务将自动运行。

命令执行完毕后，OpenClaw 便部署完成了。

登录成功后，页面会跳转到 OpenClaw 的网关仪表盘。接下来需要进行网关连接配置。

在网关配置页面，需要填写以下信息：

• WebSocket URL：固定为 openclaw docker 教程 （注意是 协议）。
• 网关令牌 (Token)：这个令牌存储在宿主机挂载目录的配置文件中。你可以通过以下命令查询：

将查询到的令牌字符串填入“网关令牌”输入框，然后点击【连接】按钮。

出于安全考虑，新的浏览器或设备首次连接网关时，会触发设备审批流程。

你可以按照页面提示的命令在宿主机上执行审批（推荐），或者直接运行容器内预置的自动审批脚本（该脚本会批准所有待审批设备，请确保访问环境可信）：

审批完成后，等待大约30秒或手动刷新页面，即可看到网关连接状态变为“正常”。

至此，OpenClaw 的核心配置已经完成。

本方案强制使用 HTTPS 访问。如果启动时没有指定自定义证书，容器会使用自动生成的自签名证书。

如果你拥有合法的域名证书，可以按以下步骤配置：

1. 启动命令：确保 环境变量的值与你的证书域名匹配，例如 。
2. 放置证书：将你的证书文件（）和私钥文件（）复制到宿主机挂载目录的 路径下，并分别重命名为 和 。如果该目录下已有自签名证书文件，请先执行 进行清理。
3. 重启容器：执行 使新证书生效。

镜像的完整 Tag 格式如下：

其中：

• 代表集成的 OpenClaw 核心版本号。
• 代表当前 OpenClaw-In-Docker 项目自身的版本号。

你可以通过 https://cncfstack.com/i/cncfstack/openclaw-in-docker 查看所有可用的镜像标签列表。

下面对 命令中的关键参数进行解读：

• ：赋予容器特权模式。主要是因为需要在容器内再运行一个 Docker 服务，涉及挂载内核路径。（注：后续会持续优化以收缩权限，目标是移除此参数）
• ：设置容器随 Docker 守护进程启动而自动重启。你也可以手动停止它（）。
• ：为容器内的 目录挂载一个独立的 Docker Volume（名为 ）。注意：这不是挂载宿主机目录，不要以 或 开头。Docker 会自动管理此卷，可通过 命令操作。
• ：这是 OpenClaw 的主要配置和数据存储目录，挂载到宿主机方便管理和持久化。
• ：指定 OpenClaw 的 Web 访问地址，用于登录页面、证书生成以及配置 OpenClaw 的 安全策略。
• 与 ：Web 登录层的用户名和密码，默认均为 。

除了通过 Web UI 管理，你也可以通过命令行进入容器内部进行操作：

进入容器后，你面对的是一个完整的 Debian 系统环境。当前工作目录 下是 OpenClaw 的源码，而所有配置文件默认位于 路径下。你可以直接执行 系列命令进行精细化管理。

tools 配置
考虑到容器环境本身具有较好的隔离性和可控性，本项目默认将 AI 智能体的工具调用权限设置为 （完全开放），以支持更广泛的任务场景。

升级到新版本非常简单，只需要使用新版本的镜像重新启动容器即可。具体步骤：

若要完全卸载 OpenClaw In Docker，需要清理以下几项资源：

1. 停止并删除容器：

2. 删除容器镜像：

3. 删除数据卷：

4. 删除OpenClaw配置数据（谨慎操作）：

   ⚠️ 注意：执行此操作前，建议对 目录进行备份。该目录包含了你的所有配置和会话数据，备份后可用于后续迁移或恢复。

这个方案将 OpenClaw 的部署、安全和运维问题进行了封装，为开发者提供了一个开箱即用的环境。如果你对这类容器化开源实战方案感兴趣，欢迎在云栈社区分享你的使用经验或提出改进建议。