企业官网建设流程全解析

1. 为什么要把 OpenClaw 塞进 Docker：跨平台部署的真实痛点

OpenClaw 是一个本地 AI 助理框架，能跑对话、文件管理、系统监控、网页自动化、知识库问答这些活。它本身不挑平台，Linux、Windows、macOS 都能装，但真正动手部署过的人都知道，麻烦不在 OpenClaw 本身，而在它背后那一堆依赖：Python 版本、编译工具链、数据库、缓存、反向代理，还有模型接入的 Key 和 Base URL 配置。换一台机器，环境就得重来一遍，昨天在 Ubuntu 上跑通的配置，今天搬到 Windows 上可能连依赖都装不上。

Docker 容器化要解决的就是这个「环境漂移」问题。它把 OpenClaw 和它的全部依赖打包成一个镜像，镜像里有什么、版本是多少，全都固定下来。你在开发机上构建好，推到测试机、生产机、甚至边缘设备上，跑起来的行为是一致的。这就是所谓的「一次构建，到处运行」，不是口号，是镜像分层和 namespace 隔离带来的实际效果。

跨平台部署还有一层含义是架构差异。x86 服务器、ARM 开发板、Apple Silicon 的 Mac，CPU 指令集不一样。Docker 的 multi-arch 镜像机制可以让同一个镜像标签在不同架构上自动拉取对应版本，OpenClaw 的部署脚本不用改。这一点对需要在多种硬件上铺开的团队特别有用。

但容器化不是免费的午餐。它引入了网络命名空间、卷挂载、资源限制这些新概念，配置错了就是容器起不来、连不上数据库、API 请求超时。尤其是模型接入这一环，OpenClaw 需要访问外部大模型 API，容器内的网络出口、环境变量注入、Key 的管理方式，都和裸机部署不一样。这篇就围绕「Docker 容器化 + TaoToken 统一 Key 接入」这条主线，把可复制的 Dockerfile、compose 配置、环境变量模板和验证动作一次讲清楚，让你在任意支持 Docker 的平台上都能把 OpenClaw 跑起来并接通模型。

适合谁看：需要跨平台部署 OpenClaw 的个人开发者、要保证团队环境一致的 DevOps、想把本地 AI 助理放到云服务器或边缘设备上的人。下面从 TaoToken 的前置准备开始，一步步走到容器启动后的连通性验证。

2. TaoToken 统一 Key 接入的前置准备与模型通道配置

OpenClaw 要干活，得能调用大模型。裸机部署时，你可能会把 API Key 直接写进 config.yaml，或者用环境变量传进去。容器化之后，Key 的管理方式需要重新设计：不能把 Key 硬编码进镜像，否则镜像一推送，Key 就泄露了；也不能每次启动都手动 export，那样跨平台部署就失去了自动化意义。

TaoToken 在这里扮演的是统一模型接入通道的角色。它提供一个兼容 OpenAI 接口规范的 API 端点，OpenClaw 只要把 Base URL 指向它，用统一的 Key 就能调用后端多个模型。对容器化部署来说，这意味着你不需要在镜像里为每个模型厂商单独配置 SDK 和认证逻辑，只需要一个环境变量TAOTOKEN_API_KEY和一个 Base URL，就能让容器内的 OpenClaw 访问模型能力。

前置准备分三步。第一步是拿到 Key。访问 TaoToken 官网 https://taotoken.net/?utm_source=taotoken_aicg_blog_end&utm_medium=csdn&utm_campaign=rewrite&utm_content= ，注册后在控制台创建 API Key。控制台地址是 https://taotoken.net/console?utm_source=taotoken_aicg_blog_end&utm_content=console&utm_campaign=rewrite ，Key 只在创建时显示一次，复制后妥善保存。如果你还没决定用哪个模型，可以先到模型对话页面 https://taotoken.net/models?utm_source=taotoken_aicg_blog_end&utm_content=models&utm_campaign=rewrite 试一下不同模型的效果，确认哪个适合你的 OpenClaw 场景。

第二步是确认 API 端点。TaoToken 的 API 地址是 https://taotoken.net/api ，这个地址不加 UTM 参数，直接作为 OpenClaw 配置里的base_url。注意末尾不要带斜杠，OpenClaw 内部拼接路径时会自己处理。如果你用的是 OpenAI 兼容的客户端库，通常需要把 base_url 设置为https://taotoken.net/api/v1，具体取决于库的实现，后面配置章节会给出完整示例。

第三步是规划 Key 的注入方式。容器化部署推荐用环境变量，而不是配置文件。原因有两个：一是环境变量可以在 docker-compose.yml 或 Kubernetes Secret 里管理，不进入镜像层；二是不同环境（开发、测试、生产）可以用不同的 Key，只需要改环境变量，不用重新构建镜像。OpenClaw 的配置读取逻辑支持从环境变量覆盖配置文件中的值，我们会在 config.yaml 里用${TAOTOKEN_API_KEY}这样的占位符，启动时由容器运行时注入真实值。

如果你打算长期跑编码类任务或 Agent 工作流，可以了解一下 Coding Plan https://taotoken.net/coding-plan?utm_source=taotoken_aicg_blog_end&utm_content=coding-plan&utm_campaign=rewrite ，它针对高频调用场景做了额度优化。接入文档在 https://taotoken.net/doc?utm_source=taotoken_aicg_blog_end&utm_content=doc&utm_campaign=rewrite ，里面有各语言 SDK 的接入示例，容器内如果要用 Python 客户端，可以参考。API Keys 管理页面是 https://taotoken.net/api-keys?utm_source=taotoken_aicg_blog_end&utm_content=api-keys&utm_campaign=rewrite ，可以随时轮换 Key。

这里要强调一点：TaoToken 是合规的模型接入通道，不是灰色中转。它的作用是让你用一个 Key 访问多个模型，简化配置，而不是绕过任何限制。容器化部署时，Key 通过环境变量注入，不写入镜像，这是安全实践的基本要求。

3. 可复制的 Dockerfile 与 compose 配置：把 OpenClaw 和 TaoToken 接起来

这一节给出完整的配置文件，你可以直接复制到项目目录里用。目录结构建议这样组织：

openclaw-docker/ ├── Dockerfile ├── docker-compose.yml ├── .env ├── requirements.txt ├── config/ │ └── config.yaml ├── nginx/ │ └── nginx.conf └── app/ └── main.py

先看 Dockerfile。用多阶段构建减小镜像体积，基础镜像选 python:3.11-slim，构建阶段装编译依赖，运行阶段只拷贝安装好的包和应用代码。

# 构建阶段 FROM python:3.11-slim AS builder WORKDIR /app RUN apt-get update && apt-get install -y \ gcc \ g++ \ libffi-dev \ libssl-dev \ && rm -rf /var/lib/apt/lists/* COPY requirements.txt . RUN pip install --user --no-cache-dir -r requirements.txt # 运行阶段 FROM python:3.11-slim WORKDIR /app RUN apt-get update && apt-get install -y \ curl \ && rm -rf /var/lib/apt/lists/* COPY --from=builder /root/.local /root/.local COPY . . ENV PATH=/root/.local/bin:$PATH ENV PYTHONUNBUFFERED=1 ENV OPENCLAW_CONFIG=/app/config/config.yaml RUN mkdir -p /app/data /app/logs /app/config EXPOSE 8080 HEALTHCHECK --interval=30s --timeout=10s --start-period=40s --retries=3 \ CMD curl -f http://localhost:8080/health || exit 1 CMD ["python", "main.py"]

requirements.txt 里至少要有这些包，版本按你实际用的填：

openclaw>=2.5.0 openai>=1.30.0 psycopg2-binary>=2.9.9 redis>=5.0.0 pyyaml>=6.0 requests>=2.31.0

接下来是 config.yaml，重点是 ai 段的配置。这里用环境变量占位符，容器启动时注入真实值。

server: host: "0.0.0.0" port: 8080 debug: false database: type: "postgresql" host: "postgres" port: 5432 name: "openclaw" user: "openclaw" password: "${POSTGRES_PASSWORD}" redis: host: "redis" port: 6379 db: 0 ai: provider: "openai-compatible" base_url: "https://taotoken.net/api/v1" api_key: "${TAOTOKEN_API_KEY}" model: "${TAOTOKEN_MODEL}" max_tokens: 2048 temperature: 0.7 timeout: 60 skills: enabled: - "file_manager" - "system_monitor" - "web_automation" - "knowledge_base" auto_load: true performance: max_workers: 4 queue_size: 100 cache_ttl: 300 logging: level: "INFO" file: "./logs/openclaw.log" max_size: "100MB" backup_count: 10

注意base_url写的是https://taotoken.net/api/v1，因为 OpenClaw 内部用的是 OpenAI 兼容客户端，需要带/v1路径。api_key和model都从环境变量读，不写死。

然后是 docker-compose.yml，把 OpenClaw、PostgreSQL、Redis、Nginx 编排起来。

version: '3.8' services: openclaw: build: . image: openclaw/openclaw:latest container_name: openclaw restart: unless-stopped ports: - "8080:8080" volumes: - ./config:/app/config - ./data:/app/data - ./logs:/app/logs environment: - PYTHONUNBUFFERED=1 - OPENCLAW_CONFIG=/app/config/config.yaml - TAOTOKEN_API_KEY=${TAOTOKEN_API_KEY} - TAOTOKEN_MODEL=${TAOTOKEN_MODEL} - POSTGRES_PASSWORD=${POSTGRES_PASSWORD} depends_on: postgres: condition: service_healthy redis: condition: service_healthy networks: - openclaw-network healthcheck: test: ["CMD", "curl", "-f", "http://localhost:8080/health"] interval: 30s timeout: 10s retries: 3 start_period: 40s deploy: resources: limits: cpus: '2.0' memory: 2G reservations: cpus: '1.0' memory: 1G postgres: image: postgres:15-alpine container_name: openclaw-postgres restart: unless-stopped environment: POSTGRES_DB: openclaw POSTGRES_USER: openclaw POSTGRES_PASSWORD: ${POSTGRES_PASSWORD} volumes: - postgres-data:/var/lib/postgresql/data networks: - openclaw-network healthcheck: test: ["CMD-SHELL", "pg_isready -U openclaw"] interval: 10s timeout: 5s retries: 5 redis: image: redis:7-alpine container_name: openclaw-redis restart: unless-stopped command: redis-server --appendonly yes --maxmemory 512mb --maxmemory-policy allkeys-lru volumes: - redis-data:/data networks: - openclaw-network healthcheck: test: ["CMD", "redis-cli", "ping"] interval: 10s timeout: 5s retries: 5 nginx: image: nginx:alpine container_name: openclaw-nginx restart: unless-stopped ports: - "80:80" volumes: - ./nginx/nginx.conf:/etc/nginx/nginx.conf:ro depends_on: - openclaw networks: - openclaw-network volumes: postgres-data: driver: local redis-data: driver: local networks: openclaw-network: driver: bridge

.env 文件放敏感信息，不要提交到 Git：

TAOTOKEN_API_KEY=你的Key TAOTOKEN_MODEL=gpt-4o-mini POSTGRES_PASSWORD=openclaw123

nginx.conf 做反向代理，把 80 端口的请求转发到 OpenClaw 的 8080：

events { worker_connections 1024; } http { upstream openclaw_backend { server openclaw:8080; keepalive 32; } server { listen 80; server_name localhost; client_max_body_size 10M; location / { proxy_pass http://openclaw_backend; proxy_http_version 1.1; proxy_set_header Upgrade $http_upgrade; proxy_set_header Connection 'upgrade'; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; proxy_cache_bypass $http_upgrade; proxy_connect_timeout 60s; proxy_send_timeout 60s; proxy_read_timeout 60s; } } }

这套配置里，OpenClaw 容器通过TAOTOKEN_API_KEY和TAOTOKEN_MODEL两个环境变量拿到模型接入信息，config.yaml 里的${}占位符在启动时被替换。PostgreSQL 和 Redis 用健康检查确保依赖就绪后再启动 OpenClaw。Nginx 做统一入口，后面验证时直接访问 80 端口就行。

如果你用的是 Cline MCP 或 Claude Code 这类工具，配置逻辑类似，都是 Base URL + Key + Model ID 三件套。Cline 的 MCP 配置里，Base URL 填https://taotoken.net/api，Key 填你的 TaoToken Key，Model ID 填你选的模型名。Claude Code 的 settings.json 里，ANTHROPIC_BASE_URL指向 TaoToken 的兼容端点，ANTHROPIC_API_KEY填 Key。Codex 的 auth.json 里，OPENAI_BASE_URL和OPENAI_API_KEY同理。容器化部署时，这些配置都可以通过环境变量注入，不用改镜像。

4. 启动容器并验证 API 连通性与跨平台运行状态

配置写好后，构建并启动。在项目根目录执行：

docker compose build docker compose up -d

构建过程会拉取基础镜像、安装依赖、拷贝代码。第一次构建可能花几分钟，取决于网络。构建完成后，docker compose ps查看服务状态，应该看到 openclaw、postgres、redis、nginx 四个容器都是 running 或 healthy。

docker compose ps

输出类似：

NAME IMAGE STATUS PORTS openclaw openclaw/openclaw:latest Up (healthy) 0.0.0.0:8080->8080/tcp openclaw-postgres postgres:15-alpine Up (healthy) 5432/tcp openclaw-redis redis:7-alpine Up (healthy) 6379/tcp openclaw-nginx nginx:alpine Up 0.0.0.0:80->80/tcp

如果 openclaw 容器状态是 unhealthy 或 restarting，先看日志：

docker compose logs -f openclaw

日志里会显示配置加载、数据库连接、Redis 连接、模型加载的过程。正常启动的输出大概是这样：

INFO: OpenClaw v2.5.0 starting... INFO: Loading configuration from /app/config/config.yaml INFO: Platform: Docker (Linux) INFO: Connecting to PostgreSQL at postgres:5432 INFO: PostgreSQL connection established INFO: Connecting to Redis at redis:6379 INFO: Redis connection established INFO: AI provider: openai-compatible INFO: Base URL: https://taotoken.net/api/v1 INFO: Model: gpt-4o-mini INFO: AI model loaded successfully INFO: Web interface available at http://localhost:8080 INFO: OpenClaw is ready!

看到OpenClaw is ready!说明容器启动成功。接下来验证 API 连通性。OpenClaw 的健康检查端点是/health，先确认这个：

curl -f http://localhost:8080/health

返回{"status":"ok"}或类似内容，说明服务本身正常。然后验证模型接入是否通。OpenClaw 一般会暴露一个/api/chat端点，发一个测试请求：

curl -X POST http://localhost:8080/api/chat \ -H "Content-Type: application/json" \ -d '{ "message": "你好，请回复一句话确认连通", "model": "gpt-4o-mini" }'

如果返回里有模型生成的文本，说明 TaoToken 通道打通了。如果返回 401，说明 Key 不对或没注入；如果返回超时，说明容器网络出口有问题。这两个错误后面排障章节会细讲。

跨平台运行状态验证，重点看两件事：一是容器在不同宿主机上启动后，docker compose ps的状态是否一致；二是模型请求的响应时间是否在合理范围。你可以在 Linux 服务器、Windows 的 Docker Desktop、macOS 上分别跑同一套 compose 文件，对比日志里的启动时间和请求延迟。实测下来，Linux 上启动最快，Windows 和 macOS 因为 Docker Desktop 的虚拟化层，启动会慢几秒，但运行时的请求延迟差异不大。

再验证一下容器内的环境变量是否正确注入：

docker compose exec openclaw env | grep TAOTOKEN

应该看到TAOTOKEN_API_KEY=你的Key和TAOTOKEN_MODEL=gpt-4o-mini。如果 Key 显示为空，说明 .env 文件没被 compose 读取，检查 .env 是否在 docker-compose.yml 同目录，以及变量名是否拼写正确。

最后做一个端到端的对话测试，通过 Nginx 入口访问：

curl -X POST http://localhost/api/chat \ -H "Content-Type: application/json" \ -d '{"message": "用一句话介绍你自己"}'

如果 Nginx 配置正确，这个请求会被转发到 OpenClaw 容器，再经 TaoToken 通道调用模型，返回结果。这一步通了，说明从入口到模型接入的整条链路都正常。

5. 容器化部署常见报错排查：401、local proxy failed、reading choices、OAuth

容器化部署 OpenClaw 时，报错往往集中在模型接入和网络配置上。这一节列出几个高频错误和对应的排查动作。

401 Unauthorized

这是最常见的错误，说明 TaoToken 的 Key 没被正确识别。先确认容器内环境变量：

docker compose exec openclaw env | grep TAOTOKEN_API_KEY

如果输出为空，检查 .env 文件里的变量名是否和 docker-compose.yml 里的${TAOTOKEN_API_KEY}一致。注意 .env 文件不要有多余空格，Key 不要加引号。如果环境变量有值但依然 401，可能是 Key 本身失效或额度用完，到 API Keys 页面 https://taotoken.net/api-keys?utm_source=taotoken_aicg_blog_end&utm_content=api-keys&utm_campaign=rewrite 确认 Key 状态。

还有一种情况是 base_url 写错。config.yaml 里应该是https://taotoken.net/api/v1，如果漏了/v1，请求会打到错误路径，返回 404 而不是 401，但有些客户端会统一报认证失败。检查 config.yaml 的 ai 段，确认 base_url 完整。

local proxy failed

这个报错通常出现在容器内发起外部请求时，网络出口被阻断。Docker 默认的 bridge 网络通过 NAT 访问外网，如果宿主机防火墙规则严格，或者 Docker 的 DNS 配置有问题，就会报 local proxy failed。排查步骤：

先确认容器能解析域名：

docker compose exec openclaw nslookup taotoken.net

如果解析失败，检查宿主机的/etc/resolv.conf和 Docker 的 daemon.json 里 DNS 配置。可以在 docker-compose.yml 的 openclaw 服务下加dns: 8.8.8.8临时测试。

再确认容器能访问外网：

docker compose exec openclaw curl -I https://taotoken.net/api

如果 curl 超时，说明网络出口不通。检查宿主机是否能访问该地址，如果宿主机可以而容器不行，多半是 Docker 网络模式问题。可以临时把 openclaw 服务改成network_mode: host测试，但生产环境不建议用 host 模式，会失去网络隔离。

reading choices 报错

这个错误一般出现在流式响应解析时，客户端读取choices字段失败。原因可能是 TaoToken 返回的响应格式和 OpenClaw 期望的不完全一致，或者模型名称写错导致返回了错误结构。先确认TAOTOKEN_MODEL的值是 TaoToken 支持的模型 ID，到模型对话页面 https://taotoken.net/models?utm_source=taotoken_aicg_blog_end&utm_content=models&utm_campaign=rewrite 确认可用模型列表。

如果模型名正确，检查 OpenClaw 的版本是否支持流式解析。有些旧版本的 OpenAI 客户端库对choices字段的处理有差异，升级openai包到最新版试试。在 requirements.txt 里把openai>=1.30.0改成openai>=1.40.0，重新构建镜像。

OAuth 相关报错

如果你用的是 Claude Code 或类似工具，可能会遇到 OAuth 认证失败。这类工具默认走 Anthropic 的 OAuth 流程，容器化部署时需要把认证方式改成 API Key。在 Claude Code 的 settings.json 里，设置ANTHROPIC_BASE_URL为 TaoToken 的兼容端点，ANTHROPIC_API_KEY为你的 TaoToken Key，同时确保没有残留的 OAuth token 文件。容器内如果挂载了宿主机的~/.claude目录，先清空里面的认证缓存，再重启容器。

Claude Code 的接入文档在 https://taotoken.net/doc?utm_source=taotoken_aicg_blog_end&utm_content=doc&utm_campaign=rewrite ，里面有完整的 settings.json 示例。容器化时，把 settings.json 放在挂载卷里，通过环境变量注入 Key，不要写死在文件里。

容器启动后立即退出

如果docker compose ps显示 openclaw 容器状态是 Exited，先看日志：

docker compose logs openclaw

常见原因是 config.yaml 格式错误，YAML 对缩进敏感，多一个空格少一个空格都会解析失败。用docker compose exec openclaw python -c "import yaml; yaml.safe_load(open('/app/config/config.yaml'))"验证配置文件语法。另一个原因是数据库连接失败，检查 postgres 容器是否 healthy，以及 config.yaml 里的数据库密码是否和 .env 里的POSTGRES_PASSWORD一致。

跨平台差异导致的报错

在 Windows 上跑 Docker Desktop 时，卷挂载的路径分隔符和 Linux 不同。docker-compose.yml 里的./config:/app/config在 Windows 上可能映射失败，改成绝对路径或者用 WSL2 后端。macOS 上 Apple Silicon 芯片拉取 x86 镜像时会走 Rosetta 模拟，性能下降，建议用 multi-arch 镜像或者指定platform: linux/arm64。

排查完这些，大部分容器化部署的问题都能定位。关键是养成看日志的习惯，docker compose logs -f openclaw能告诉你容器内部到底发生了什么。

6. 把 OpenClaw 跑稳之后：模型通道与长期编码的接入选择

容器跑起来、API 连通性验证通过之后，接下来要考虑的是长期运行的稳定性。OpenClaw 在 Docker 里跑，容器本身的重启策略、资源限制、日志轮转都配好了，剩下的变量就是模型通道的可用性和额度。

如果你只是偶尔用 OpenClaw 做对话和简单任务，按量付费的 API Key 就够了。到 API Keys 页面 https://taotoken.net/api-keys?utm_source=taotoken_aicg_blog_end&utm_content=api-keys&utm_campaign=rewrite 创建一个 Key，填进 .env，重启容器即可。模型选择上，轻量任务用便宜的小模型，复杂推理换大模型，改TAOTOKEN_MODEL环境变量就行，不用动镜像。

如果你打算让 OpenClaw 长期跑编码类 Agent 任务，比如自动改代码、跑测试、提交 PR，那调用频率会高很多。Coding Plan https://taotoken.net/coding-plan?utm_source=taotoken_aicg_blog_end&utm_content=coding-plan&utm_campaign=rewrite 针对这种场景做了额度优化，适合把 OpenClaw 当成常驻开发助理来用。接入方式和普通 Key 一样，只是计费模型不同。

容器化部署的一个好处是，你可以把 OpenClaw 的镜像和配置模板固化下来，换一台机器只需要改 .env 里的 Key 和模型名，docker compose up -d就能拉起一套完整环境。跨平台的一致性由 Docker 保证，模型接入的灵活性由 TaoToken 的统一通道保证。这两者结合，才是「一次配置，到处运行」的完整含义。

最后提醒一点：.env 文件不要提交到 Git 仓库，生产环境用 Docker Secret 或 Kubernetes Secret 管理 Key。容器日志里如果打印了完整的请求 URL，确认没有把 Key 拼在 URL 里。这些安全习惯，比配置本身更重要。