1. OpenClaw 本机与云部署到底怎么选从 Docker 到 SSH 的完整落地对比OpenClaw 是一个能读文件、执行命令、调用外部接口的代理型工具你可以把它理解成一个「住在机器里的自动化助手」——它需要长期在线、需要访问本地资源、需要稳定调用大模型 API。所以「装在哪」这个问题本质上不是技术偏好而是你希望它扮演什么角色是随时待命的后台执行官还是多人可访问的云端助手。选错了环境后面每一步配置都会别扭。我见过太多人卡在同一个地方本机 Docker 跑起来了但模型调用一直 401或者云主机 SSH 部署完了结果发现本地文件根本传不上去。这两类问题的根源其实一样——环境变量和 Base URL 没对齐。这篇就围绕 OpenClaw 本机 Docker 与云主机 SSH 两套落地方式把环境变量、Base URL、模型调用配置差异讲清楚并给出一次真实请求验证连通性的完整过程。适合正在纠结部署位置、或者已经部署但调不通模型的同学。核心检索词先明确OpenClaw 本机部署和云部署的区别重点在 Docker 与 SSH 两种落地方式下模型调用通道怎么配。下面按「先讲选型逻辑再给两套可复制配置最后验证和排障」的顺序展开。2. TaoToken 统一 Key 接入 OpenClaw 的前置准备与通道说明不管你把 OpenClaw 装在本机 Docker 还是云主机 SSH 环境模型调用这一层都可以用同一套通道来解决。TaoToken 提供的是统一 Key 和统一 Base URL也就是说你在本机和云端可以用完全相同的鉴权方式只是环境变量注入的位置不同。这对 OpenClaw 这种需要频繁调用模型的代理工具来说很关键——你不需要为两套环境维护两套 Key。先做前置准备。打开官网 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 注册并登录进入控制台 https://taotoken.net/console?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 创建 API Key。创建时建议按环境命名比如openclaw-local和openclaw-cloud方便后面排查是哪个环境的 Key 出了问题。Key 只在创建时完整显示一次复制后先存到密码管理器里。拿到 Key 之后你需要确认三件套Base URL、API Key、Model ID。Base URL 统一用 https://taotoken.net/api 注意这个地址不带任何查询参数。Model ID 根据你实际要用的模型填写比如 Claude 系列或 GPT 系列的对应标识具体以接入文档 https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 里的模型列表为准。这里有个容易踩的坑很多人把 Base URL 写成带/v1后缀的形式结果 OpenClaw 内部又拼了一次路径变成/v1/v1/chat/completions直接 404。正确做法是 Base URL 只写到https://taotoken.net/api让 OpenClaw 自己拼接具体端点。如果你用的是 Claude Code 这类工具接入方式略有不同可以参考 ClaudeCodeAnthropic 对应的文档说明。另外如果你打算长期跑编码类或 Agent 类任务可以了解 Coding Plan https://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 它在高频调用场景下更划算。但这一步不是必须的先用按量 Key 把连通性跑通再说。3. 本机 Docker 与云主机 SSH 两套可复制配置片段这一节是全文最核心的部分给出两套可以直接复制的配置。先讲本机 Docker再讲云主机 SSH最后对比差异。3.1 本机 Docker 部署的环境变量配置本机 Docker 部署 OpenClaw推荐用docker-compose.yml管理这样环境变量、卷挂载、重启策略都在一个文件里。下面是一个可复制的最小配置version: 3.8 services: openclaw: image: openclaw/openclaw:latest container_name: openclaw-local restart: unless-stopped ports: - 127.0.0.1:8080:8080 environment: - OPENCLAW_API_BASEhttps://taotoken.net/api - OPENCLAW_API_KEYsk-你的本机Key - OPENCLAW_MODEL_IDclaude-sonnet-4-20250514 - OPENCLAW_WORKSPACE/workspace volumes: - ./workspace:/workspace - ./skills:/app/skills extra_hosts: - host.docker.internal:host-gateway几个关键点说明。OPENCLAW_API_BASE就是统一 Base URL不要加/v1。OPENCLAW_API_KEY填你在控制台创建的本机 Key。OPENCLAW_MODEL_ID按实际模型填。端口映射建议绑到127.0.0.1不要直接暴露到0.0.0.0本机部署的安全边界就在这里。如果你更习惯用.env文件管理密钥可以改成# .env OPENCLAW_API_BASEhttps://taotoken.net/api OPENCLAW_API_KEYsk-你的本机Key OPENCLAW_MODEL_IDclaude-sonnet-4-20250514然后在 compose 里用env_file: .env引入。这样.env可以加进.gitignore避免 Key 泄露。启动命令docker compose up -d docker compose logs -f openclaw看到日志里出现API base configured和model ready就说明环境变量注入成功。3.2 云主机 SSH 部署的环境变量配置云主机上部署 OpenClaw通常有两种方式直接跑二进制或者同样用 Docker。这里讲 SSH 登录后直接配置 systemd 服务的方式适合想要更细粒度控制的场景。先 SSH 登录云主机ssh root你的云主机IP创建环境变量文件sudo mkdir -p /etc/openclaw sudo tee /etc/openclaw/env EOF OPENCLAW_API_BASEhttps://taotoken.net/api OPENCLAW_API_KEYsk-你的云端Key OPENCLAW_MODEL_IDclaude-sonnet-4-20250514 OPENCLAW_WORKSPACE/data/openclaw/workspace EOF sudo chmod 600 /etc/openclaw/env注意chmod 600这个文件里有 Key不能让其他用户读到。然后创建 systemd 服务# /etc/systemd/system/openclaw.service [Unit] DescriptionOpenClaw Agent Afternetwork.target [Service] Typesimple EnvironmentFile/etc/openclaw/env ExecStart/usr/local/bin/openclaw --config /etc/openclaw/config.toml Restarton-failure RestartSec5 Useropenclaw [Install] WantedBymulti-user.target对应的config.toml[api] base_url https://taotoken.net/api model_id claude-sonnet-4-20250514 [workspace] path /data/openclaw/workspace [security] allow_shell true allow_file_write true sandbox true这里base_url同样只写到https://taotoken.net/api。sandbox true建议开启云主机上跑代理工具隔离比本机更重要。启动并设为开机自启sudo systemctl daemon-reload sudo systemctl enable --now openclaw sudo systemctl status openclaw3.3 两套配置的差异对照配置项本机 Docker云主机 SSH环境变量位置compose 或 .env/etc/openclaw/envBase URLhttps://taotoken.net/apihttps://taotoken.net/apiKey 命名建议openclaw-localopenclaw-cloud端口暴露绑 127.0.0.1安全组限制来源 IP文件访问卷挂载本地目录云盘目录 权限隔离重启策略restart: unless-stoppedsystemd Restarton-failure可以看到模型调用这一层两套环境完全一致差异只在环境变量注入方式和安全边界上。这也是统一 Key 通道的价值——你换环境不用换鉴权逻辑。4. 验证请求与成功结果一次真实调用确认连通性配置写完不算完必须发一次真实请求确认模型能调通。OpenClaw 一般自带一个doctor或test子命令先用它做基础检查# 本机 Docker docker exec -it openclaw-local openclaw doctor # 云主机 openclaw doctordoctor会检查 Base URL 可达性、Key 有效性、模型 ID 是否在支持列表里。如果这一步就报错直接跳到第 5 节排障。基础检查通过后发一次真实对话请求curl -sS https://taotoken.net/api/v1/chat/completions \ -H Authorization: Bearer sk-你的Key \ -H Content-Type: application/json \ -d { model: claude-sonnet-4-20250514, messages: [ {role: user, content: 回复 OK 两个字母即可} ], max_tokens: 16 }预期返回类似{ id: chatcmpl-xxx, object: chat.completion, choices: [ { index: 0, message: { role: assistant, content: OK }, finish_reason: stop } ], usage: { prompt_tokens: 12, completion_tokens: 2, total_tokens: 14 } }看到choices[0].message.content有内容说明通道完全打通。这一步在本机和云端都要各跑一次因为两套环境的网络出口不同云主机可能受安全组或出站规则影响。如果 curl 通了但 OpenClaw 内部调用失败问题多半在 OpenClaw 的配置解析上而不是通道本身。这时候重点检查config.toml里的base_url有没有被重复拼接以及环境变量有没有被 systemd 正确加载用systemctl show openclaw | grep Environment确认。5. OpenClaw 接入常见报错排查401、local proxy failed 与 reading choices这一节按真实报错来排每个报错给出定位思路和修复动作。401 Unauthorized。最常见的原因是 Key 没注入成功或者 Key 前后带了空格。先确认环境变量真的被读到了# Docker docker exec openclaw-local env | grep OPENCLAW_API_KEY # 云主机 sudo systemctl show openclaw | grep OPENCLAW_API_KEY如果输出为空说明 EnvironmentFile 路径写错或文件权限不对。如果输出有值但仍是 401检查 Key 是否被复制时截断或者是否在控制台被禁用。还有一种情况是 Base URL 写成了https://taotoken.net/api/末尾多斜杠某些 HTTP 客户端会拼出双斜杠路径导致鉴权头丢失。local proxy failed。这个报错通常出现在本机 Docker 场景原因是容器内访问宿主机网络失败。如果你在 OpenClaw 里配了本地代理容器内的127.0.0.1指向的是容器自己不是宿主机。解决办法是在 compose 里加extra_hosts把host.docker.internal映射到宿主机网关然后把代理地址改成host.docker.internal:端口。但更推荐的做法是直接走统一 Base URL不经过本地代理少一层就少一个故障点。reading choices 报错。典型信息是error reading choices: unexpected end of JSON input或choices field missing。这说明请求发出去了但返回体不是预期的 JSON 结构。常见原因有三个一是 Base URL 拼错请求打到了某个返回 HTML 的页面二是模型 ID 写错服务端返回了错误对象而不是 completion 对象三是网络中间有拦截返回了非 JSON 内容。排查方法是用第 4 节的 curl 命令直接打看原始返回。如果 curl 正常但 OpenClaw 报错检查 OpenClaw 版本是否过旧旧版本可能不兼容新的响应字段。OAuth 相关报错。如果你用的是 Claude Code 类工具接入可能会遇到 OAuth token 过期或 scope 不足的提示。这类工具不走 API Key 而走 OAuth 流程接入方式参考 ClaudeCodeAnthropic 文档。核心是三件套要配对Base URL 用 https://taotoken.net/api Key 用对应工具生成的凭证Model ID 按文档填。三者缺一或错一都会报 OAuth 错误。CC Switch / Cline MCP / Codex auth.json 场景。如果你在 OpenClaw 里集成了这些工具配置要写全三件套。以 Cline MCP 为例配置文件里需要同时出现 Base URL、API Key、Model ID 三个字段缺任何一个都会在启动时报配置不完整。Codex 的auth.json同理字段名可能不同但语义一致。建议把三件套写成一个模板换环境时只改 Key 的值。排障时如果拿不准优先用模型对话 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 页面直接发一条消息确认 Key 和模型本身没问题再回头查 OpenClaw 配置。这样能把「通道问题」和「工具配置问题」分开。6. 部署方式选定后把 OpenClaw 嵌入工作流的接入建议选本机还是云端最终要回到你的实际使用节奏。如果你需要它读本地素材、处理视频、管理私有文档本机专用设备比如一台长期在线的 Mac Mini 或独立小主机更合适数据在手里调用本地资源没有同步成本。如果你需要多人访问、临时测试、或者设备没法长期在线云主机 SSH 部署更省事但要注意安全组只放行必要来源 IP/etc/openclaw/env权限设成 600。不管选哪种模型调用这一层都用同一套三件套Base URL 填 https://taotoken.net/api Key 按环境分别创建Model ID 按接入文档 https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 填。本机 Docker 用 compose 的environment或.env注入云主机用 systemd 的EnvironmentFile注入差异只在注入位置不在鉴权逻辑。如果你打算长期跑编码或 Agent 类任务可以看下 Coding Plan https://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 高频场景下比按量更稳。Key 管理在控制台 https://taotoken.net/console?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 新 Key 在 API Keys https://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 页面创建。最后给一个实操建议先把本机 Docker 跑通用 curl 验证一次再把同一套三件套搬到云主机。这样出问题时你能确定是环境差异还是配置本身的问题。部署位置决定的是可控性和可访问性的权衡而模型通道统一之后你换环境的成本会低很多。