1. 为什么要在阿里云 ECS 上用 Docker 跑 OpenClawOpenClaw 是一个开源的 AI 自动化代理平台它能理解自然语言指令然后在你的服务器上真正执行任务读写文件、跑脚本、整理目录、调用外部 API、把结果推回聊天通道。简单说它把「对话」变成了「行动」适合想搭个人助理、团队自动化工作流或者做开发辅助的开发者。但很多人第一次部署会卡在环境上。直接在 ECS 宿主机装 Node.js 22、再装一堆系统依赖跑起来容易和已有服务抢端口、抢全局包升级 Node 版本还可能把别的项目搞崩。我试过在阿里云 ECS 上把 OpenClaw 容器化用 Docker 封装运行时再通过 TaoToken 统一 Key 接入模型通道整条链路干净、可复制、可回滚。这篇就聚焦这条链路阿里云 ECS Node.js 运行时 Docker 容器化 TaoToken 统一 Key/API 通道。你会拿到可直接复制的 Dockerfile、docker-compose.yml、环境变量配置以及容器启动后验证 API 连通性的具体命令和预期返回。适合已经有一台 ECS、想用容器方式长期跑 OpenClaw 的人。先说清楚 TaoToken 在这里的角色。它是一个统一的大模型 API 接入层把不同模型的调用收敛成一套 Base URL Key Model ID 的配置方式。OpenClaw 需要调用大模型来理解指令、规划动作TaoToken 就是它背后的模型通道。官网入口在 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content API 地址是 https://taotoken.net/api 注意 API 地址不带 UTM 参数。为什么强调容器化因为 OpenClaw 会执行文件操作、跑脚本容器能给它一个隔离的执行环境降低依赖冲突和误操作风险。同时 Docker 让「本地能跑、服务器也能跑」变成同一份配置迁移成本几乎为零。下面从 ECS 准备开始一步步走完。2. 阿里云 ECS 准备与 Node.js 运行时配置在阿里云控制台创建 ECS 实例时镜像选 Ubuntu 22.04 LTS 比较省心Docker 和 Node.js 的安装文档都全。规格上 2 核 4G 起步OpenClaw 本身不重但模型请求和文件操作并发起来内存留点余量更稳。安全组先放行 22 端口用于 SSH8080 端口留给 OpenClaw 后台等确认服务跑起来再决定是否对公网开放。登录 ECS 后先更新系统包再装 Node.js 22。这里有个坑Ubuntu 自带的 apt 源里 Node 版本偏旧直接apt install nodejs大概率是 18 甚至更低OpenClaw 要求 22所以用 NodeSource 的源来装。# 更新系统 sudo apt update sudo apt upgrade -y # 安装 NodeSource 源并安装 Node.js 22 curl -fsSL https://deb.nodesource.com/setup_22.x | sudo -E bash - sudo apt install -y nodejs # 验证版本 node -v # 预期输出 v22.x.x npm -v # 预期输出 10.x.x装完 Node 后装 Docker。用官方脚本最省事它会自动处理依赖和 systemd 服务注册。# 安装 Docker curl -fsSL https://get.docker.com | sudo sh # 把当前用户加入 docker 组避免每条命令都 sudo sudo usermod -aG docker $USER # 重新登录使组权限生效然后验证 docker version docker compose version # 预期输出 Docker Compose version v2.x.x注意usermod之后必须重新登录 SSH 会话组权限才会生效否则docker ps还是会报 permission denied。这一步很多人会忽略然后以为是 Docker 装坏了。接下来准备项目目录。我习惯把配置和数据分开数据用 volume 挂出来容器删了数据还在。mkdir -p ~/openclaw/{config,data,logs} cd ~/openclaw目录结构说明config放环境变量和模型配置data放 OpenClaw 的持久化数据logs放运行日志。这样即使重建容器只要这三个目录在服务状态就能恢复。Node.js 运行时配置到这里就完成了。你可能会问既然用 Docker为什么还要在宿主机装 Node因为我们要用 Node 来跑 OpenClaw 的初始化命令生成配置或者在某些调试场景下直接跑源码。容器里也会装 Node两者不冲突。如果你完全走容器路线宿主机这步可以跳过但建议保留方便排障。3. 可复制的 Dockerfile 与 docker-compose 配置这一节是核心直接给可复制的配置。先写 Dockerfile基于官方 Node 22 镜像装 OpenClaw暴露 8080 端口。# Dockerfile FROM node:22-slim # 安装基础工具OpenClaw 执行脚本时会用到 RUN apt-get update apt-get install -y \ curl \ git \ python3 \ rm -rf /var/lib/apt/lists/* # 全局安装 OpenClaw RUN npm install -g openclaw # 工作目录 WORKDIR /app # 复制配置目录 COPY config /app/config # 暴露后台端口 EXPOSE 8080 # 启动命令 CMD [openclaw, start, --config, /app/config/config.json]这里用node:22-slim而不是完整版镜像小、启动快。python3是给 OpenClaw 执行某些脚本任务用的如果你的场景不涉及可以去掉。然后是 docker-compose.yml把环境变量、端口、volume 都编排好。# docker-compose.yml version: 3.8 services: openclaw: build: . container_name: openclaw restart: unless-stopped ports: - 8080:8080 environment: - NODE_ENVproduction - OPENCLAW_API_BASEhttps://taotoken.net/api - OPENCLAW_API_KEY${OPENCLAW_API_KEY} - OPENCLAW_MODEL_ID${OPENCLAW_MODEL_ID} - OPENCLAW_LOG_LEVELinfo volumes: - ./data:/app/data - ./logs:/app/logs - ./config:/app/config healthcheck: test: [CMD, curl, -f, http://localhost:8080/health] interval: 30s timeout: 10s retries: 3关键点说明。OPENCLAW_API_BASE指向 TaoToken 的 API 地址https://taotoken.net/api这是统一入口。OPENCLAW_API_KEY和OPENCLAW_MODEL_ID从.env文件读取不写死在 compose 里避免密钥进版本库。在~/openclaw下创建.env文件# .env OPENCLAW_API_KEY你的TaoToken_Key OPENCLAW_MODEL_ID你的模型IDTaoToken 的 Key 在控制台创建入口是 https://taotoken.net/console?utm_sourcetaotoken_aicg_blog_endutm_contentconsoleutm_campaignrewrite API Keys 管理页在 https://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_contentapi-keysutm_campaignrewrite 。创建后复制 Key填进.env。Model ID 按你实际要用的模型填比如某个通用对话模型或代码模型。再写一个 OpenClaw 的配置文件config/config.json把模型通道指向 TaoToken{ model: { provider: openai-compatible, baseUrl: https://taotoken.net/api, apiKey: ${OPENCLAW_API_KEY}, modelId: ${OPENCLAW_MODEL_ID} }, server: { port: 8080, host: 0.0.0.0 }, security: { confirmHighRisk: true } }provider用openai-compatible因为 TaoToken 提供的是兼容 OpenAI 协议的接口Base URL 填https://taotoken.net/apiKey 和 Model ID 通过环境变量注入。confirmHighRisk打开高风险操作人工确认删除文件、执行危险命令前会先问你这个建议保持开启。三件套齐了Base URL Key Model ID。任何一处不对后面验证都会失败所以先核对清楚再启动。4. 启动容器并验证 API 连通性配置就绪后构建并启动容器。cd ~/openclaw # 构建镜像 docker compose build # 后台启动 docker compose up -d # 查看容器状态 docker compose ps预期看到openclaw容器状态是Uphealthcheck 显示healthy。如果状态是Restarting说明启动命令有问题用docker compose logs openclaw看日志。容器起来后先验证后台端口是否响应curl -s http://localhost:8080/health预期返回类似{status:ok}。如果返回连接拒绝检查端口映射和容器是否真的在跑。接下来验证最关键的一步模型 API 通道是否连通。OpenClaw 内部会调用 TaoToken我们可以直接在容器里发一个测试请求确认 Base URL、Key、Model ID 三件套都正确。docker compose exec openclaw curl -s -X POST https://taotoken.net/api/v1/chat/completions \ -H Authorization: Bearer $OPENCLAW_API_KEY \ -H Content-Type: application/json \ -d { model: $OPENCLAW_MODEL_ID, messages: [{role: user, content: ping}], max_tokens: 10 }预期返回一个 JSON包含choices数组里面有模型回复内容。只要看到choices字段和内容说明通道打通了。如果返回 401是 Key 问题返回 404多半是 Base URL 或路径不对返回model not found是 Model ID 填错。你也可以用 TaoToken 的模型对话页面先单独验证 Key 是否可用入口在 https://taotoken.net/chat?utm_sourcetaotoken_aicg_blog_endutm_contentchatutm_campaignrewrite 在页面上发一条消息能正常回复就说明 Key 和模型没问题再去排 OpenClaw 的配置。最后做一次端到端测试在 OpenClaw 后台或绑定的聊天通道发一条指令比如「列出 /app/data 目录下的文件」看它是否执行并返回结果。这一步成功整条链路就算跑通了。如果你打算长期跑编码类或 Agent 类任务可以了解下 Coding Plan入口在 https://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_contentcoding-planutm_campaignrewrite 适合持续性的开发辅助场景。5. 常见报错排查401、local proxy failed 与 reading choices部署过程中高频报错就那么几个逐个对照排查效率最高。401 Unauthorized。这是最常见的说明 Key 没被正确识别。先确认.env里的OPENCLAW_API_KEY没有多余空格或换行然后确认容器里读到的环境变量是对的docker compose exec openclaw env | grep OPENCLAW如果 Key 显示为空说明.env没被 compose 加载检查.env是否和docker-compose.yml在同一目录。如果 Key 正确但依然 401去 TaoToken 控制台确认这个 Key 是否启用、是否有可用额度。local proxy failed。这个报错通常出现在容器内请求外部 API 时网络不通。先确认 ECS 安全组出方向没有限制再在容器里测一下基础连通性docker compose exec openclaw curl -s -o /dev/null -w %{http_code} https://taotoken.net/api预期返回 200 或 401取决于是否带 Key如果返回 000 或超时是网络层问题。注意不要在配置里写任何本地代理地址容器直连即可。reading choices of undefined。这个报错说明代码在解析响应时响应体里没有choices字段。原因通常是 Base URL 路径不对比如把https://taotoken.net/api写成了带/v1或漏了/v1。TaoToken 的 Base URL 就是https://taotoken.net/api具体路径由 SDK 拼接。另一个可能是 Model ID 填错服务端返回了错误对象而不是正常响应。用第 4 节的 curl 命令单独测一次看原始返回是什么。OAuth 相关报错。如果你在配置里启用了某些需要 OAuth 的通道比如绑定第三方协作平台报错会提示授权失败。这类问题先确认回调地址配置正确再确认授权账号状态正常。如果只是跑模型通道可以先不启用 OAuth 相关功能把核心链路跑通再逐步加。容器启动后立即退出。用docker compose logs openclaw看最后几行。常见原因是config/config.json格式错误JSON 少个逗号或多括号都会导致解析失败。用python3 -m json.tool config/config.json校验一下格式。端口 8080 被占用。ECS 上可能已经有别的服务占了 8080。改 compose 里的端口映射比如8081:8080然后访问 8081。排查时记住一个原则先分层定位。网络层用 curl 测连通性认证层看 401协议层看返回体结构配置层校验 JSON 格式。一层层排除比盲目改配置快得多。6. 把 OpenClaw 长期跑稳的几个实用设置容器跑起来只是开始长期稳定运行还需要几个设置。第一日志轮转。OpenClaw 跑久了日志会撑大磁盘在 compose 里加日志限制logging: driver: json-file options: max-size: 10m max-file: 3这样单个日志文件最大 10MB保留 3 个不会无限增长。第二数据备份。data目录是核心定期打包备份到对象存储或另一台机器。可以写个 cron# 每天凌晨 3 点备份 0 3 * * * tar -czf ~/backup/openclaw-data-$(date \%F).tar.gz ~/openclaw/data第三镜像更新。OpenClaw 迭代快定期重建镜像拉取新版本cd ~/openclaw docker compose build --no-cache docker compose up -d--no-cache确保拉到最新的 npm 包。更新前先备份 data 目录万一新版本有兼容问题可以回滚。第四安全加固。高风险操作确认保持开启容器不要用 root 跑可以在 Dockerfile 里加USER node安全组只放行必要端口。如果 OpenClaw 要执行文件操作把操作范围限制在挂载的data目录内不要挂载整个宿主机根目录。第五监控。用 healthcheck 配合阿里云的云监控容器不健康时告警。也可以简单点写个脚本定时 curl/health失败就发通知。这套组合下来OpenClaw 在阿里云 ECS 上就能稳定长期运行。核心链路是ECS 提供算力Docker 提供隔离和可移植性TaoToken 提供统一的模型通道。三件套 Base URL Key Model ID 配对剩下的就是按需扩展技能和通道。接入文档在 https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_contentdocutm_campaignrewrite 遇到配置细节可以对照查。如果你用 Claude Code 类工具做开发辅助Anthropic 兼容通道的说明在 https://taotoken.net/claude-code-anthropic?utm_sourcetaotoken_aicg_blog_endutm_contentclaude-code-anthropicutm_campaignrewrite 配置逻辑和本文一致都是 Base URL Key Model ID 三件套。最后留一个我踩过的坑.env文件里的值不要加引号OPENCLAW_API_KEYabc123这样写就行写成OPENCLAW_API_KEYabc123在某些 compose 版本里会把引号也当成值的一部分导致 401。这个细节排查起来很费时间提前避开。