Docker 官方部署 OpenClaw 容器化方案详解

为什么需要容器化？

直接 npm install -g openclaw 装在电脑上，简单、快，但有个严重问题：OpenClaw 能碰你电脑上的所有东西。

你的文件、你的网络、你的 API 密钥，全都暴露在外。出了问题，你可能都不知道发生了什么。

Docker 官方方案

Docker 官方终于跟进了 OpenClaw 的容器化部署。核心思路是 权限隔离：

docker run -d \
  --name openclaw \
  -v $(pwd)/workspace:/workspace \
  -e ANTHROPIC_API_KEY=$ANTHROPIC_API_KEY \
  --network=none \
  openclaw/openclaw:latest

关键安全配置

1. 文件隔离：只挂载工作目录，不暴露整个文件系统
2. 网络隔离：--network=none 阻止未授权的网络访问
3. 环境变量注入：API 密钥不写入容器镜像
4. 只读挂载：配置文件使用 :ro 只读模式

资源限制

deploy:
  resources:
    limits:
      memory: 4G
      cpus: '2.0'

建议给 OpenClaw 容器至少 4GB 内存和 2 核 CPU。复杂项目可能需要 8GB+。

数据持久化

volumes:
  - openclaw-cache:/home/user/.openclaw
  - ./projects:/workspace

缓存目录单独挂载为 named volume，避免每次启动重新下载模型配置。

来源: @geekshellio 的实践分享