在Docker容器中安全运行OpenClaw：无需虚拟机，用TaoToken统一Key接入AI助手

1. 为什么把 OpenClaw 塞进 Docker 里跑OpenClaw 是一个开源的 AI 助手框架能通过飞书这类聊天工具接收指令再调用浏览器和大语言模型去完成查资料、点页面、整理信息这类任务。它适合想体验 AI 助手、又不想把一堆依赖直接铺在主力机上的开发者。问题也正出在这里OpenClaw 依赖 Node.js、Chrome、systemd 用户实例还要接飞书机器人和模型 API直接装在宿主机上权限、依赖、残留文件全混在一起卸载时很难清干净。我试过把它跑在虚拟机里资源占用高、启动慢改个配置还得等系统起来。Docker 容器就轻很多环境隔离、删掉即净还能把浏览器和网关一起封进去。但容器里跑 AI 助手有个绕不开的坎模型 Key 怎么管。OpenClaw 要调大模型飞书插件要鉴权如果每个工具各配一套 Key配置文件会散成好几份换模型时得挨个改。这篇就聚焦一件事在 Docker 容器里安全部署 OpenClaw并用 TaoToken 的统一 Key 接入 AI 助手把多工具 Key 分散的问题收拢到一处。下面会给可复制的 Dockerfile、config.toml 骨架、TaoToken 配置片段以及容器启动后验证连通性的具体命令。适合有基础 Docker 经验、想干净试一把 OpenClaw 的人。2. TaoToken 前置统一 Key 解决什么TaoToken 是一个模型接入网关官网在 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content API 入口是 https://taotoken.net/api 。它的价值在于你只需要在 TaoToken 侧维护一份 KeyOpenClaw 里所有模型调用都指向这个统一入口不用为每个模型供应商单独配 Key、单独改 baseUrl。对容器场景来说这点很关键。容器重建是常事如果 Key 散落在多个配置文件里每次重建都要重新填一遍。统一 Key 之后你只要保证一个环境变量或一份配置片段正确整个 AI 助手链路就能通。TaoToken 支持模型对话、Coding Plan、控制台和 API Keys 管理接入文档在 https://taotoken.net/doc 需要生成 Key 时去 https://taotoken.net/api-keys 。注意TaoToken 是合规的模型接入服务本文只讲在自有容器里配置它不涉及任何网络加速或绕过限制的操作。前置准备清单装好 Docker 并启动服务有一个飞书账号用来建机器人在 TaoToken 控制台生成一个 API Key。这三样齐了就能往下走。3. 可复制配置Dockerfile 与 config.toml 骨架先给一份精简的 Dockerfile基于 Ubuntu 24.04把 Node.js、Chrome、中文字体和 OpenClaw 都装进去。这样容器一启动就是可用状态不用每次进容器手动补依赖。FROM ubuntu:24.04 ENV DEBIAN_FRONTENDnoninteractive ENV LANGzh_CN.UTF-8 ENV LANGUAGEzh_CN:zh RUN apt update apt install -y \ curl wget vim xz-utils locales \ fonts-wqy-zenhei language-pack-zh-hans \ locale-gen zh_CN.UTF-8 \ rm -rf /var/lib/apt/lists/* # 安装 Node.js RUN wget -O /tmp/node.tar.xz https://nodejs.org/dist/v24.13.0/node-v24.13.0-linux-x64.tar.xz \ tar -xf /tmp/node.tar.xz -C /usr/local --strip-components1 \ rm /tmp/node.tar.xz # 安装 Chrome RUN wget -O /tmp/chrome.deb https://dl.google.com/linux/direct/google-chrome-stable_current_amd64.deb \ dpkg -i /tmp/chrome.deb || apt --fix-broken install -y \ rm /tmp/chrome.deb # 安装 OpenClaw RUN curl -fsSL https://openclaw.bot/install.sh | bash WORKDIR /root CMD [/bin/bash]构建命令docker build -t openclaw-local:latest .接着是 config.toml 骨架。OpenClaw 的模型接入部分指向 TaoToken把 baseUrl 换成 TaoToken 的 API 地址apiKey 用环境变量注入避免明文写死在文件里。[browser] enabled true executablePath /usr/bin/google-chrome-stable headless true noSandbox true [models.providers.taotoken] baseUrl https://taotoken.net/api apiKey ${TAOTOKEN_API_KEY} api openai-completions [[models.providers.taotoken.models]] id claude-sonnet-4-5 name claude-sonnet-4-5 contextWindow 200000 maxTokens 8192 [agents.defaults.model] primary taotoken/claude-sonnet-4-5 [gateway] port 18789 mode local bind loopback启动容器时把 Key 通过环境变量传进去docker run -d --name openclaw_docker \ --privileged --nethost \ --tmpfs /tmp --tmpfs /run --tmpfs /run/lock \ -v /sys/fs/cgroup:/sys/fs/cgroup:rw \ -v $PWD:/home -w /home \ --cgroupnshost \ -e containerdocker \ -e TAOTOKEN_API_KEY你的TaoToken密钥 \ openclaw-local:latest /sbin/init提示--privileged权限较高仅在自己可控的环境里用。生产场景建议改用更细粒度的 capability 配置。4. 验证请求容器内确认 AI 助手连通容器起来后先进去确认环境变量和配置文件都到位。docker exec -ti openclaw_docker bash echo $TAOTOKEN_API_KEY如果输出为空说明启动时没传进去需要重建容器。接着验证 Chrome 能跑/usr/bin/google-chrome-stable --headless --disable-gpu \ --no-sandbox --screenshot/tmp/screenshot.png \ --window-size1920,1080 https://www.baidu.com ls -lh /tmp/screenshot.png能看到截图文件生成说明浏览器链路正常。然后直接对 TaoToken 的 API 发一个最小请求确认 Key 有效curl -s https://taotoken.net/api/v1/chat/completions \ -H Authorization: Bearer $TAOTOKEN_API_KEY \ -H Content-Type: application/json \ -d { model: claude-sonnet-4-5, messages: [{role: user, content: 回复两个字连通}] }返回体里如果出现模型回复内容说明统一 Key 已经打通。最后启动 OpenClaw 网关openclaw gateway日志里出现网关监听 18789 端口、模型 provider 加载成功的记录就代表 AI 助手在容器内已经就绪。此时在飞书里给机器人发一条消息能收到回复即完成闭环。想长期后台运行可以装成 systemd 用户服务openclaw gateway install systemctl --user status openclaw-gateway.service5. 本篇常见错排查容器启动后 systemd 没起来多半是 cgroup 挂载没配对。检查启动参数里--cgroupnshost和-v /sys/fs/cgroup:/sys/fs/cgroup:rw是否都在缺一个 systemd 就起不来。Chrome 报 no-sandbox 相关错误容器内以 root 跑 Chrome 必须带--no-sandboxconfig.toml 里的noSandbox true要确认生效。如果还报共享内存不足启动容器时加--shm-size1g。TaoToken 请求返回 401先echo $TAOTOKEN_API_KEY看变量是否为空再确认 Key 没有多余空格或换行。如果是从文件读取的注意末尾换行会被带进请求头。模型名对不上config.toml 里的 model id 要和 TaoToken 侧支持的名称一致写错会返回 model not found。不确定时先去模型对话页面确认可用模型名。网关端口被占18789 被别的进程占用时改 config.toml 里的port重启网关即可。容器用--nethost时端口直接映射到宿主机冲突更明显。飞书机器人收不到消息检查 appId、appSecret 是否填对以及飞书后台的事件订阅地址是否指向容器暴露的网关端口。容器内bind loopback时外部访问需要改成对应网卡地址或做端口转发。6. 后续怎么接得更顺把 OpenClaw 放进 Docker、用 TaoToken 统一 Key 之后日常维护会轻很多。换模型时只改 config.toml 里的一行 model idKey 不用动容器重建时只要环境变量还在整条链路自动恢复。如果你打算长期跑编码类或 Agent 类任务可以去了解 Coding Plan它更适合高频调用场景需要生成或轮换 Key 时走 API Keys 页面接入细节和参数说明看接入文档。模型对话入口可以用来快速验证某个模型在当前 Key 下是否可用省得每次都进容器测。一个实用习惯把TAOTOKEN_API_KEY写进宿主机的环境变量或密钥管理工具启动容器时引用而不是每次手敲。这样容器删了重建Key 也不会丢。