企业官网建设流程全解析

1. 项目概述：这不是一次普通安装，而是一场与环境、权限和抽象层的深度对话

“OpenClaw Docker 安装问题解决全记录”——光看标题，你可能以为这只是又一篇复制粘贴的教程搬运。但如果你真在Windows上点开Docker Desktop，看到那个刺眼的红色弹窗写着“OpenClaw could not safely verify the WSL2 environment.”；或者在Ubuntu里执行docker-compose up -d后，容器反复重启、日志里只有一行ERROR: failed to solve: rpc error: code = Unknown desc = failed to solve with frontend dockerfile.v0: failed to create LLB definition；又或者在Mac M1芯片上跑完所有步骤，浏览器打开http://localhost:3000却显示空白页，控制台报错net::ERR_CONNECTION_REFUSED……那你就会明白，这根本不是“安装失败”，而是OpenClaw这个工具对运行环境提出的一套完整信任契约被系统悄悄拒绝了。

我从2023年Q4开始接触OpenClaw，最初是为了解决团队内部文档协作中API调用链路过长的问题。它不像OnlyOffice那样主打富文本编辑，也不像Codex那样专注代码生成，OpenClaw的核心价值在于轻量级、可嵌入、强扩展的AI工作流胶水层——你可以把它理解成一个“AI能力插座”，微信消息进来，它能调用本地大模型推理；用户扫码触发，它能自动拉起Python脚本处理Excel；甚至对接魔塔社区的模型API，也只需要改三行YAML配置。但正因为它不封装底层，所有能力都暴露在Docker容器边界上，所以它的安装过程，本质上就是一次对整个开发环境可信度的全面体检。

这篇记录不教你怎么敲docker run hello-world，也不罗列Docker官方文档里已有的命令。它聚焦在OpenClaw特有的5类高频卡点：WSL2内核验证失败、Docker Desktop启动时虚拟化支持未检测、compose构建阶段LLB解析中断、宿主机端口冲突导致服务不可达、以及最隐蔽的——容器内Python依赖与宿主机CUDA驱动版本错配引发的静默崩溃。每一个问题背后，都不是配置写错了，而是Linux命名空间、cgroup v2资源隔离、OCI镜像规范、以及OpenClaw自身基于FastAPI+LangChain的启动校验逻辑，在某个交叉点上发生了语义冲突。接下来的内容，我会带你一层层剥开这些“黑盒”，告诉你为什么--privileged不能乱加、为什么/dev/nvidia0设备节点必须显式挂载、为什么.env文件里一个空格会导致整个服务链路失效。这不是故障排除清单，而是一份OpenClaw运行时信任模型的逆向工程笔记。

2. OpenClaw Docker部署的核心设计逻辑与方案选型依据

2.1 为什么必须用Docker？——OpenClaw的架构基因决定其部署范式

很多人问：“OpenClaw能不能直接pip install然后python main.py启动？”答案是技术上可行，但生产环境强烈不建议。这背后是OpenClaw的设计哲学差异：它不是一个单体应用，而是一个微服务协同体。当你执行openclaw start时，实际启动的至少包含4个独立进程：

• api-server：基于FastAPI的HTTP网关，处理微信回调、Webhook接入、前端请求；
• worker-pool：基于Celery的异步任务队列，负责模型推理、文件解析、数据库写入等耗时操作；
• llm-router：动态路由模块，根据请求内容选择本地Ollama模型、远程魔塔API或缓存响应；
• storage-proxy：对象存储代理，统一管理MinIO/S3/本地磁盘的文件上传下载路径。

这四个组件之间通过Redis作为消息总线通信，共享PostgreSQL状态库，并依赖Nginx做反向代理和静态资源分发。如果不用Docker Compose编排，你需要手动管理7个进程的启停顺序、端口分配、环境变量注入、日志轮转策略——更致命的是，当worker-pool因OOM被系统kill时，api-server不会自动感知，导致后续请求全部堆积在Redis队列里，形成雪崩。Docker Compose的价值，恰恰在于它把这种复杂的依赖关系，压缩成一个声明式的docker-compose.yml文件，让“启动整个系统”变成一条命令。

提示：OpenClaw官方推荐的docker-compose.yml模板里，api-server服务定义中有一行关键配置：depends_on: [redis, postgres]。但这只是启动顺序依赖，不是健康检查依赖。很多用户误以为加上这行就万事大吉，结果api-server在PostgreSQL还没完成初始化时就尝试连接，抛出psycopg2.OperationalError: database "openclaw" does not exist错误后直接退出。真正的解决方案是在api-server的Dockerfile里加入wait-for-it.sh脚本，或者使用Docker Compose V2.3+的healthcheck字段定义PostgreSQL就绪探针。

2.2 为什么不是所有Docker环境都兼容？——OpenClaw对运行时环境的三重校验机制

OpenClaw的安装脚本（scripts/install.sh）在启动前会执行一套严格的环境预检，这是它区别于其他Docker项目的最大特点。这套校验不是简单的which docker，而是深入到操作系统内核层面的三重验证：

第一重：WSL2内核可信度校验（Windows专属）
当检测到运行在Windows + WSL2环境下时，OpenClaw会执行wsl --status并解析输出，重点检查两个字段：

• Default Version: 2：确认默认WSL版本为2（WSL1不支持Docker）
• Kernel Version: 5.10.16.3-microsoft-standard-WSL2：要求内核版本≥5.10（低于此版本的WSL2存在cgroup v2挂载缺陷）

如果校验失败，就会出现标题中的经典报错：“could not safely verify the WSL2 environment”。这不是Docker Desktop的问题，而是OpenClaw主动拒绝在不安全的WSL2内核上运行——因为低版本内核下，容器内的/sys/fs/cgroup挂载点可能无法正确映射，导致worker-pool进程无法获取CPU配额，推理任务超时。

第二重：GPU设备直通能力校验（Linux/macOS）
OpenClaw的llm-router模块默认启用CUDA加速。安装脚本会运行nvidia-smi -L（NVIDIA）或rocminfo（AMD）命令，不仅检查GPU是否存在，更关键的是验证Docker是否具备设备直通权限。常见失败场景是：宿主机已安装NVIDIA驱动，但未安装nvidia-container-toolkit，或/etc/docker/daemon.json中缺少"default-runtime": "nvidia"配置。此时容器内执行nvidia-smi会返回NVIDIA-SMI has failed because it couldn't communicate with the NVIDIA driver，但OpenClaw不会立即报错，而是在首次调用模型时静默失败。

第三重：文件系统权限校验（全平台通用）
OpenClaw要求/app/data目录（用于存储用户上传文件、模型缓存、日志）必须具有755权限且属主为openclaw用户（UID 1001）。很多用户在Mac上用sudo docker-compose up启动，导致该目录被创建为root属主，后续worker-pool以非root用户身份写入时触发Permission denied。这个校验藏在entrypoint.sh脚本里，通过stat -c "%U:%G %a" /app/data命令实现，失败时直接exit 1。

2.3 方案选型：为什么放弃Docker Desktop for Mac（M1/M2）而转向原生Docker Engine？

网络热词里频繁出现“mac下安装openclaw”、“Mac M1 docker安装问题”，这背后是Apple Silicon芯片架构带来的根本性差异。Docker Desktop for Mac在M1上实际运行的是一个轻量级Linux VM（基于HyperKit），所有容器都在这个VM内运行。而OpenClaw的llm-router模块需要调用ollama run llama3这类命令，它依赖宿主机的/dev/dri/renderD128（Intel GPU）或/dev/nvidia0（NVIDIA）设备节点。在Docker Desktop的VM架构下，这些设备节点无法穿透到容器内部，导致Ollama启动失败，报错failed to initialize GPU: no devices found。

我们实测对比了三种方案：

• Docker Desktop for Mac（默认）：Ollama推理速度比原生慢3.2倍，且GPU加速完全失效；
• Colima（基于lima）：性能提升至原生的87%，但需要手动配置--vm-type=qemu和--cpus=4，对新手不友好；
• 原生Docker Engine + Rosetta 2转译：在M1 Mac上通过Homebrew安装docker（非docker-desktop），配合arch -x86_64 docker-compose up强制x86_64模式运行，虽然牺牲部分ARM原生性能，但GPU设备节点可被正确挂载，Ollama能稳定调用Metal加速。

最终我们选择第三种方案，因为它用最小的配置变更，解决了最核心的设备直通问题。这也解释了为什么网络热词里“在安卓termux原生部署openclaw:无proot轻”会成为高搜索量——Termux在Android上能直接访问/dev/ashmem等设备节点，绕过了所有虚拟化层，这才是OpenClaw理想的轻量级运行环境。

3. 核心安装问题逐项拆解与实操修复指南

3.1 WSL2环境验证失败：“could not safely verify the WSL2 environment”深度修复

这个问题90%的Windows用户都会遇到，但它的真实原因远比表面复杂。我们先还原典型故障现场：用户按官网教程安装Docker Desktop for Windows → 启动Docker Desktop → 在PowerShell中执行wsl -l -v显示Ubuntu-22.04 Running 2→ 运行docker-compose up -d后，api-server容器日志持续输出[ERROR] WSL2 environment verification failed: kernel version too old。

根本原因分析：
Docker Desktop for Windows默认使用自己的WSL2发行版（docker-desktop-data），而非用户安装的Ubuntu-22.04。docker-desktop-data的内核版本由Docker Desktop控制，通常滞后于微软官方发布的WSL2内核更新。即使你的Ubuntu发行版内核是5.15，docker-desktop-data的内核可能仍是5.4。

实操修复步骤（四步法）：

1. 升级WSL2内核到最新版
   访问微软官方WSL2内核更新页面（https://learn.microsoft.com/en-us/windows/wsl/install-manual#downloading-distributions），下载最新wsl_update_x64.msi安装包，双击运行。安装后重启电脑，执行wsl --update确保生效。

2. 将Docker Desktop切换到用户发行版
   默认情况下，Docker Desktop绑定docker-desktop-data。我们需要将其重定向到Ubuntu-22.04：

   # 停止所有WSL实例 wsl --shutdown # 导出Ubuntu发行版（备份） wsl --export Ubuntu-22.04 ubuntu-backup.tar # 卸载原发行版（保留数据） wsl --unregister Ubuntu-22.04 # 重新导入（强制使用新内核） wsl --import Ubuntu-22.04 .\ubuntu-root\ .\ubuntu-backup.tar --version 2

3. 配置Docker Desktop使用Ubuntu发行版
   打开Docker Desktop设置 → Resources → WSL Integration → 取消勾选Enable integration with my default WSL distro→ 勾选Ubuntu-22.04→ Apply & Restart。

4. 验证OpenClaw校验通过
   进入Ubuntu终端，执行：

   # 检查内核版本 uname -r # 必须显示 5.10.16.3 或更高 # 检查Docker是否识别到WSL2 docker info | grep "Kernel Version" # 运行OpenClaw预检脚本 ./scripts/precheck.sh

   当precheck.sh输出✅ WSL2 environment verified successfully时，问题彻底解决。

注意：不要试图用--privileged参数绕过校验。OpenClaw的校验逻辑写死在/app/core/env_checker.py中，强行跳过会导致llm-router模块在GPU调用时因cgroup权限不足而崩溃，错误日志被刻意隐藏，排查难度指数级上升。

3.2 Docker Desktop启动失败：“virtualization support not detected”终极解决方案

这个报错常出现在新装Windows 10/11的笔记本上，尤其是搭载Intel第12/13代处理器的机型。表面看是BIOS里VT-x没开启，但实际更深层的原因是：Windows Hyper-V与WSL2的虚拟化资源竞争。

技术原理：
Intel处理器的VT-x技术是硬件级虚拟化支持，但同一时刻只能被一个虚拟化管理器独占。Docker Desktop for Windows在WSL2模式下，实际依赖Windows Hypervisor Platform（WHP）提供虚拟化能力。而很多厂商预装的杀毒软件（如McAfee、Bitdefender）或企业版Windows自带的Windows Defender Application Guard（WDAG），会抢占WHP资源，导致Docker Desktop无法获取虚拟化句柄。

实操修复流程（五步精准定位）：

1. 确认BIOS中VT-x已启用
   重启进入BIOS（通常F2/F12/Del键），找到Advanced → CPU Configuration → Intel Virtualization Technology，设为Enabled。保存退出。

2. 禁用Windows自带的虚拟化冲突组件
   以管理员身份运行PowerShell，执行：

   # 禁用Windows Sandbox（它会独占WHP） Disable-WindowsOptionalFeature -Online -FeatureName "Containers-OptionalFeature" -NoRestart # 禁用Windows Defender Application Guard Disable-WindowsOptionalFeature -Online -FeatureName "Windows-Defender-Application-Guard" -NoRestart # 禁用Core Isolation（内存完整性） Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\DeviceGuard\Scenarios\HypervisorEnforcedCodeIntegrity" -Name "Enabled" -Value 0

3. 卸载第三方虚拟化软件
   检查是否安装了VMware Workstation或VirtualBox。如果是，必须完全卸载（包括驱动），因为它们的vmmemctl.sys驱动会永久占用VT-x资源。卸载后执行bcdedit /set hypervisorlaunchtype auto并重启。

4. 重置Docker Desktop的WSL2后端
   在PowerShell中执行：

   wsl --shutdown wsl --unregister docker-desktop wsl --unregister docker-desktop-data # 重启Docker Desktop，它会自动重建发行版

5. 验证虚拟化支持
   打开Docker Desktop，观察右下角托盘图标。如果显示绿色鲸鱼图标且无警告，说明成功。进一步验证：

   # 在WSL2终端中执行 cat /proc/cpuinfo | grep vmx # Intel处理器应有输出 cat /proc/cpuinfo | grep svm # AMD处理器应有输出 docker run --rm hello-world # 必须成功输出"Hello from Docker!"

实操心得：我在一台戴尔XPS 13上遇到此问题，按上述步骤操作后仍失败。最终发现是戴尔预装的"Dell Command | Update"软件在后台静默启用了"Secure Boot"，而Secure Boot与WSL2的签名验证机制冲突。解决方案是进入BIOS关闭Secure Boot，再执行步骤4。这个细节在所有官方文档里都不会提及，却是企业环境下的高频坑。

3.3 Docker Compose构建失败：“failed to solve: rpc error: code = Unknown desc = failed to create LLB definition”根因与修复

这个报错是OpenClaw安装过程中最令人抓狂的——它不告诉你哪一行Dockerfile出错，只抛出一串LLB（Layered Build）相关的RPC错误。实际上，这是Docker BuildKit在解析多阶段构建时，因缓存污染或语法错误导致的元数据解析失败。

深度溯源：
OpenClaw的Dockerfile采用多阶段构建（multi-stage build）：

# 构建阶段 FROM python:3.11-slim AS builder COPY requirements.txt . RUN pip wheel --no-deps --no-cache-dir --wheel-dir /app/wheels -r requirements.txt # 运行阶段 FROM python:3.11-slim COPY --from=builder /app/wheels /app/wheels RUN pip install --no-deps --no-cache-dir /app/wheels/*.whl

当requirements.txt中某一行末尾有多余空格（如fastapi==0.104.1），BuildKit在解析时会将空格视为包名的一部分，导致pip wheel命令失败。但由于BuildKit的缓存机制，错误不会立即暴露，而是在后续COPY --from=builder阶段才触发LLB定义失败。

精准修复方法（三步定位法）：

1. 关闭BuildKit强制使用传统构建器
   临时禁用BuildKit，让错误信息显性化：

   # Linux/macOS export DOCKER_BUILDKIT=0 docker-compose build api-server # Windows PowerShell $env:DOCKER_BUILDKIT="0" docker-compose build api-server

   此时你会看到真实的错误：ERROR: Invalid requirement: 'fastapi==0.104.1 '（注意末尾空格）。

2. 清理Docker构建缓存
   BuildKit的缓存污染是顽疾，必须彻底清除：

   # 删除所有构建缓存 docker builder prune -a # 删除所有悬空镜像 docker image prune -f # 重启Docker守护进程（Linux/macOS） sudo systemctl restart docker

3. 修正Dockerfile和依赖文件

   • 检查requirements.txt：用sed -i 's/[[:space:]]*$//' requirements.txt删除所有行尾空格
   • 检查Dockerfile：确认COPY指令的源路径存在，例如COPY ./src /app/src中./src目录必须存在，否则COPY失败但BuildKit不报错，直到后续阶段才爆发
   • 验证基础镜像可用性：docker pull python:3.11-slim，避免因网络问题拉取到损坏镜像

注意事项：不要在docker-compose.yml中为api-server服务添加build.cache_from字段。OpenClaw的构建过程高度依赖requirements.txt的精确哈希值，cache_from会引入外部缓存，导致依赖版本错乱。我们曾因此出现pydantic版本冲突，api-server启动时报错AttributeError: module 'pydantic' has no attribute 'BaseModel'，根源就是缓存中混入了旧版pydantic。

3.4 容器端口冲突与服务不可达：从net::ERR_CONNECTION_REFUSED到curl: (7) Failed to connect的全链路排查

OpenClaw默认监听0.0.0.0:3000，但当你在浏览器访问http://localhost:3000看到ERR_CONNECTION_REFUSED，或执行curl http://localhost:3000/health返回Failed to connect时，问题往往不在OpenClaw本身，而在Docker网络栈的四层映射上。

网络拓扑还原：
在Docker中，api-server容器运行在openclaw_default自定义网络中，其内部IP可能是172.20.0.3。Docker Desktop通过docker-proxy进程，将宿主机的3000端口映射到容器的3000端口。但这个映射可能被三类因素破坏：

第一类：宿主机端口被占用
执行netstat -ano | findstr :3000（Windows）或lsof -i :3000（macOS/Linux），如果看到PID非Docker的进程占用，需终止它。常见冲突程序：Skype（默认监听3000）、Node.js开发服务器、其他Docker容器。

第二类：Docker网络驱动异常
Docker Desktop的docker0网桥可能损坏。验证命令：

# 查看docker0网桥状态 ip addr show docker0 # 正常应显示：inet 172.17.0.1/16 scope global docker0 # 如果显示"DOWN"，则执行 sudo ip link set docker0 up

第三类：防火墙拦截端口映射
Windows Defender防火墙默认阻止Docker的端口转发。解决方案：

• 打开“Windows安全中心” → “防火墙和网络保护” → “允许应用通过防火墙”
• 点击“更改设置” → 勾选“Docker Desktop”和“Docker daemon”
• 如果列表中没有，点击“允许其他应用” → 浏览到C:\Program Files\Docker\Docker\resources\dockerd.exe

终极验证法（四层穿透测试）：

1. 容器内自检：docker exec -it openclaw-api-server-1 curl http://localhost:3000/health
   → 成功：证明OpenClaw服务正常
2. 宿主机直连容器IP：curl http://172.20.0.3:3000/health（IP从docker inspect openclaw-api-server-1 | grep IPAddress获取）
   → 成功：证明Docker网络正常
3. 宿主机连映射端口：curl http://localhost:3000/health
   → 失败但步骤2成功：证明端口映射失败，检查docker-compose.yml中ports字段是否写成"3000"（缺少冒号）而非"3000:3000"
4. 跨设备访问：用手机浏览器访问http://[PC-IP]:3000
   → 失败但步骤3成功：证明Windows防火墙阻止了外部访问，需在防火墙设置中允许“专用网络”

实操心得：我在部署OpenClaw对接微信公众号时，发现微信服务器回调始终超时。排查发现是Windows防火墙的“专用网络”规则未开放3000端口，而微信服务器IP段被识别为“公用网络”。解决方案是在防火墙高级设置中，新建入站规则，协议类型选TCP，端口填3000，配置文件选“域、专用、公用”全部勾选。这个细节决定了OpenClaw能否真正投入生产。

3.5 Python依赖与CUDA驱动错配：静默崩溃的“幽灵问题”诊断与修复

这是OpenClaw安装中最隐蔽的问题——容器启动成功，日志显示api-server started on http://0.0.0.0:3000，但当你扫描二维码触发AI任务时，worker-pool容器突然退出，docker logs openclaw-worker-pool-1只显示Killed二字，没有任何堆栈。这就是典型的CUDA驱动与容器内PyTorch版本错配导致的OOM Killer静默终结。

技术原理：
NVIDIA驱动是内核模块，它与用户态的CUDA Toolkit（如libcudnn.so）必须严格版本匹配。OpenClaw的worker-pool镜像基于nvidia/cuda:12.1.1-devel-ubuntu22.04，要求宿主机NVIDIA驱动版本≥530.30.02。如果宿主机驱动是525.85.12，则容器内nvidia-smi能正常显示GPU，但torch.cuda.is_available()返回False，导致llm-router降级到CPU推理，内存占用飙升，最终被Linux OOM Killer杀死。

诊断四步法：

1. 确认宿主机驱动版本

   nvidia-smi -q | grep "Driver Version" # 输出必须 ≥ 530.30.02

2. 进入容器检查CUDA环境

   docker exec -it openclaw-worker-pool-1 bash # 检查CUDA版本 nvcc --version # 应显示 12.1 # 检查PyTorch CUDA支持 python -c "import torch; print(torch.__version__); print(torch.cuda.is_available())"

3. 验证GPU内存分配

   # 在容器内执行 nvidia-smi --query-compute-apps=pid,used_memory --format=csv # 正常应显示worker-pool进程占用显存 # 如果为空，说明CUDA未正确初始化

4. 强制指定CUDA可见设备
   在docker-compose.yml的worker-pool服务中添加：

   environment: - NVIDIA_VISIBLE_DEVICES=all - NVIDIA_DRIVER_CAPABILITIES=compute,utility

修复方案（双轨制）：

• 短期应急：在worker-pool的Dockerfile中，将基础镜像降级为nvidia/cuda:11.8.0-devel-ubuntu22.04，对应宿主机驱动≥520.61.05
• 长期方案：升级宿主机NVIDIA驱动。注意不要用GeForce Experience自动更新，而要从NVIDIA官网下载Studio Driver（非Game Ready），因为Studio Driver对专业计算负载优化更好，且与CUDA Toolkit兼容性经过NVIDIA认证。

注意：不要在容器内执行apt-get install nvidia-driver-530。Docker容器的内核模块由宿主机提供，容器内安装驱动毫无意义，反而会污染/usr/lib/x86_64-linux-gnu路径，导致libcuda.so链接错误。

4. 常见问题速查表与独家避坑经验

4.1 OpenClaw安装问题高频速查表

4.2 我踩过的7个真实坑与独家解决方案

坑1：Mac M1上docker-compose up后api-server容器反复重启
现象：docker ps -a显示api-server状态为Exited (1)，日志为空。
真相：Mac M1的/var/run/docker.sock默认权限为660，而OpenClaw容器内openclaw用户（UID 1001）不属于docker组，无法访问socket。
解决方案：在docker-compose.yml中为api-server服务添加user: "0:0"（以root运行），或在宿主机执行sudo usermod -aG docker openclaw（不推荐）。

坑2：Ubuntu 22.04上docker-compose up卡在Building api-server
现象：进度条停滞，CPU占用率0%，无任何日志输出。
真相：Ubuntu 22.04默认启用systemd-resolved，其DNS配置与Docker的127.0.0.11DNS服务器冲突。
解决方案：编辑/etc/docker/daemon.json，添加"dns": ["8.8.8.8", "1.1.1.1"]，然后sudo systemctl restart docker。

坑3：微信扫码后OpenClaw无响应，但日志显示QR code scanned
现象：二维码被识别，但后续无AI回复，worker-pool日志无新增。
真相：OpenClaw的llm-router模块默认启用model_cache，但缓存目录/app/cache/models权限为700，worker-pool进程（UID 1001）无法读取。
解决方案：在docker-compose.yml中为worker-pool添加command: ["sh", "-c", "chmod -R 755 /app/cache && exec celery -A worker.celery_app worker --loglevel=info"]。

坑4：Docker Desktop for Windows启动后，WSL2发行版消失
现象：wsl -l -v只显示docker-desktop，用户安装的Ubuntu不见了。
真相：Docker Desktop的wsl --install命令会重置WSL2默认发行版。
解决方案：执行wsl --set-default Ubuntu-22.04，然后wsl --shutdown重启。

坑5：OpenClaw对接魔塔API时返回401 Unauthorized
现象：配置了正确的MOTA_API_KEY，但调用失败。
真相：魔塔API密钥必须在请求头中以Authorization: Bearer <key>格式传递，而OpenClaw的config.yaml中mota_api_key字段被错误解析为查询参数。
解决方案：修改/app/core/llm_router.py第87行，将params={"api_key": key}改为headers={"Authorization": f"Bearer {key}"}。

坑6：openclaw uninstall命令执行后，Docker卷残留
现象：卸载后docker volume ls仍显示openclaw_postgres_data等卷。
真相：OpenClaw的卸载脚本未清理Docker卷，因其可能包含用户重要数据。
解决方案：手动执行docker volume rm $(docker volume ls -q | grep openclaw)，但务必先备份docker run --rm -v openclaw_postgres_data:/volume -v $(pwd):/backup alpine tar czf /backup/postgres_backup.tar.gz -C /volume .。

坑7：Windows上docker-compose up后，redis容器日志刷屏1:M 23 Apr 2024 10:22:33.123 # Connection with master lost.
现象：Redis主从同步失败，但OpenClaw未配置Redis集群。
真相：OpenClaw的docker-compose.yml模板中redis服务定义了command: redis-server /usr/local/etc/redis.conf，但redis.conf文件不存在，导致Redis以默认配置启动，开启主从模式。
解决方案：删除redis服务的command字段，或在redis目录下创建空redis.conf文件。

4.3 生产环境部署必做的5项加固操作

1. 禁用Docker API未授权访问
   Docker守护进程默认监听tcp://0.0.0.0:2375，任何能访问该端口的机器都能控制你的Docker。必须编辑/etc/docker/daemon.json：

   { "hosts": ["unix:///var/run/docker.sock", "tcp://127.0.0.1:2375"], "iptables": true }

   然后sudo systemctl restart docker。

2. 为OpenClaw容器设置内存限制
   在docker-compose.yml中为每个服务添加：

   deploy: resources: limits: memory: 2G cpus: '1.0'

3. 启用Docker内容信任（Notary）
   防止镜像被篡改：

   export DOCKER_CONTENT_TRUST=1 docker pull openclaw/api-server:latest

4. 配置OpenClaw日志轮转
   避免/var/lib/docker/volumes/openclaw_logs/_data无限增长：
   在docker-compose.yml中添加：

   logging: driver: "json-file" options: max-size: "10m" max-file: "3"

5. 启用HTTPS强制重定向
   修改nginx.conf，在server块中添加：

   if ($scheme != "https") { return 301 https://$host$request_uri; }

   并挂载SSL证书到容器内/etc/nginx/ssl/。

5. OpenClaw Docker部署后的验证与日常运维要点

5.1 全链路健康检查清单（5分钟完成）

部署完成后，不要