三亩地 三亩地SAN MU DI · CODE DIARY
交流投稿
ARTICLE DETAIL

日记详情

真实记录编程学习的某一天，欢迎挑你感兴趣的翻一翻。

首页/学习日记/日记详情

腾讯云一键部署OpenClaw AI助手，打通飞书钉钉企业IM

发布时间：2026/8/9 17:06:21 三亩地 编程学习日记
腾讯云一键部署OpenClaw AI助手，打通飞书钉钉企业IM

1. 项目概述：为什么我们需要在腾讯云上部署OpenClaw？

最近在和一些做企业数字化工具集成的朋友聊天，大家普遍提到一个痛点：现在市面上优秀的AI助手工具，比如OpenClaw，功能确实强大，但部署和接入企业现有办公平台（如飞书、钉钉）的过程，对非专业运维人员来说，门槛还是太高了。自己从零开始配置服务器、安装依赖、调试网络、对接API，没个一两天搞不定，中间任何一个环节报错都足以让人抓狂。这直接导致很多有潜力的工具，在团队内部“试用”阶段就夭折了。

这正是“一键部署”价值所在。它不是一个营销噱头，而是将一系列复杂、易错的标准化操作（服务器初始化、环境配置、应用部署、反向代理设置、SSL证书申请、机器人配置）打包成一个可预测、可重复执行的自动化流程。对于腾讯云代理商或企业IT管理员而言，掌握这样一套在腾讯云上快速部署OpenClaw并打通飞书/钉钉的方法，意味着能极大地提升服务交付效率和客户体验。你不再需要为客户提供冗长的、充满专业术语的部署文档，而是可以提供一个脚本或一套可视化指引，让客户在半小时内就看到一个可用的、接入其办公系统的AI助手。

这个项目的核心目标，就是解决从“拥有云服务器”到“获得一个接入企业IM的、可用的OpenClaw服务”之间的最后一公里问题。我们将基于腾讯云轻量应用服务器或CVM，利用Docker等容器化技术，结合成熟的自动化脚本思路，构建一个稳定、可复现的部署方案。这不仅适用于2026年，其方法论和工具链的选择，在未来几年内都具有参考价值。

2. 核心思路与架构设计：如何规划你的部署方案？

在动手之前，清晰的架构设计能避免后续很多麻烦。我们的目标是在一台腾讯云服务器上，运行OpenClaw服务，并使其能够被飞书或钉钉的机器人安全地调用。整个系统的核心逻辑链路可以这样理解：

  1. 用户在飞书或钉钉群里@机器人并提问。
  2. 飞书/钉钉服务器将这条消息事件通过HTTP POST请求，发送到我们预先配置好的“机器人Webhook地址”。
  3. 我们的腾讯云服务器上的反向代理（如Nginx）接收到这个请求。
  4. 反向代理根据规则，将请求转发到运行在Docker容器内的OpenClaw应用服务。
  5. OpenClaw处理请求，调用其背后配置的大模型（可能是本地部署的，也可能是通过API接入的云端模型）生成回答。
  6. 回答内容被封装成飞书/钉钉机器人能识别的格式，沿原路返回，最终由机器人在群里回复用户。

基于这个链路，我们的部署方案需要包含以下几个关键层：

  • 基础设施层（腾讯云）：提供计算、网络和存储资源。轻量应用服务器因其开箱即用、自带应用镜像和防火墙管理，是快速启动的首选。如果需要更灵活的自定义，则选择CVM。
  • 容器化层（Docker & Docker Compose）：用于封装和运行OpenClaw及其所有依赖（Python环境、第三方库等）。这保证了环境的一致性，避免了“在我机器上能跑”的经典问题。
  • 应用服务层（OpenClaw）：核心的AI助手应用。我们需要关注其配置文件，特别是大模型后端（如OpenAI API、Ollama本地模型、国内大模型API）的连接配置。
  • 接入网关层（Nginx）：作为反向代理，它承担了三个重任：一是将来自公网的HTTP/HTTPS流量转发到内部Docker容器；二是管理SSL/TLS证书，实现HTTPS加密（飞书/钉钉的Webhook强制要求HTTPS）；三是可以作为简单的负载均衡或静态文件服务器。
  • 外部连接层（飞书/钉钉开放平台）：需要在对应的开放平台上创建“企业自建应用”或“机器人”，获取关键的凭证（App ID, App Secret, Verification Token等），并配置可信的回调地址（即我们服务器的HTTPS URL）。

这个分层架构的优势在于解耦。每一层都可以独立维护和升级。例如，更换大模型只需修改OpenClaw的配置；服务器迁移只需更新Nginx和开放平台的配置；升级OpenClaw版本通常只需要拉取新的Docker镜像。

2.1 方案选型背后的考量：为什么是这套组合拳？

选择腾讯云、Docker和Nginx这套组合，是基于稳定性、易用性和社区生态的综合考量。

  • 腾讯云作为基础：对于国内用户和项目，腾讯云提供稳定低延迟的网络、合规的数据中心，以及像轻量应用服务器这样对新手友好的产品。其配套的DNS解析、监控告警、安全组（防火墙）功能，与我们的部署流程能无缝集成。例如，后续自动化续签SSL证书，就可以直接使用腾讯云DNSPod的API。
  • Docker实现环境标准化：OpenClaw的依赖可能比较复杂。Docker镜像确保了从开发到生产环境的高度一致。使用docker-compose可以轻松定义和运行多容器应用（比如把OpenClaw和它需要的Redis缓存数据库放在一起），通过一个docker-compose.yml文件和一两条命令就能启停整个服务，运维复杂度大大降低。
  • Nginx担任网关：相比其他Web服务器，Nginx在反向代理和HTTPS管理方面更为成熟和高效。它性能出色，配置灵活，社区有大量关于如何为Webhook配置Nginx的成熟案例和代码片段可供参考，降低了调试门槛。

注意：这里有一个关键决策点——是否在服务器上本地部署大模型？如果选择本地部署（如通过Ollama运行Llama 3、Qwen等模型），需要确保云服务器的GPU或足够的CPU和内存资源。对于大多数快速验证和轻量使用的场景，我建议初期先使用云端大模型API（如DeepSeek、智谱AI、月之暗面等提供的API），将复杂度隔离。待核心流程跑通后，再根据需求和数据安全考量，迁移到本地模型。

3. 前期准备：配置你的腾讯云与开放平台

在运行任何脚本之前，扎实的准备工作是成功的一半。这一步需要你在两个地方进行操作：腾讯云控制台和飞书/钉钉开放平台。

3.1 腾讯云服务器初始化与安全组配置

首先，购买并设置一台合适的腾讯云服务器。

  1. 服务器选购：

    • 进入腾讯云控制台，选择“轻量应用服务器”或“云服务器CVM”。
    • 地域选择：选择离你的目标用户群体最近的地域，例如业务主要在华东就选“上海”。
    • 镜像选择：强烈推荐选择Ubuntu 22.04 LTS或Debian 11的系统镜像。这两个系统长期支持，社区资源丰富，Docker兼容性好。轻量服务器可能有“Docker基础镜像”可选，能省去安装Docker的步骤。
    • 规格选择：对于测试和轻量使用，2核4GB内存的配置是起步点。如果计划在本地运行7B参数左右的模型，建议至少4核8GB。务必注意，如果要用GPU，需要在CVM产品中选择带有GPU的实例规格。
    • 防火墙（安全组）：购买时，系统会提示配置防火墙。务必开放以下端口：
      • 22：用于SSH远程管理。
      • 80：用于HTTP访问，申请SSL证书时验证域名所有权所需。
      • 443：用于HTTPS访问，这是飞书/钉钉机器人回调的必需端口。
    • 设置root密码或绑定SSH密钥。使用SSH密钥是更安全的方式。

  2. 域名与解析（关键步骤）： 飞书和钉钉的Webhook要求回调地址必须是公网可访问的HTTPS域名，不能直接使用IP地址。因此，你需要一个域名。

    • 如果你没有域名，可以在腾讯云“域名注册”部分购买一个，.com或.cn后缀皆可。
    • 在腾讯云“DNS解析 DNSPod”控制台，为你的域名添加一条A记录。例如：
      • 主机记录：bot(这意味着你将使用bot.yourdomain.com)
      • 记录类型：A
      • 记录值：填写你刚才购买的腾讯云服务器的公网IP地址。
    • TTL（生存时间）设置为600秒（10分钟），这样修改后生效较快。

  3. 服务器基础环境准备： 通过SSH连接到你的服务器，执行以下基础命令更新系统并安装必要工具。

    # 以root用户登录后，更新软件包列表 apt update && apt upgrade -y # 安装一些常用工具 apt install -y curl wget vim git net-tools # 安装Docker Engine（如果镜像未预装） # 以下为官方安装方法示例，具体请参考Docker官方文档 curl -fsSL https://get.docker.com -o get-docker.sh sh get-docker.sh systemctl start docker systemctl enable docker # 安装Docker Compose curl -L "https://github.com/docker/compose/releases/latest/download/docker-compose-$(uname -s)-$(uname -m)" -o /usr/local/bin/docker-compose chmod +x /usr/local/bin/docker-compose

3.2 飞书开放平台应用创建与配置

接下来，我们需要在飞书开放平台创建一个能够接收消息和发送消息的机器人应用。

  1. 创建企业自建应用：

    • 访问 飞书开放平台 ，使用企业管理员账号登录（个人账号无法创建发布到企业内的应用）。
    • 进入“开发者后台”，点击“创建企业自建应用”。
    • 填写应用名称（如“OpenClaw助手”）、描述，并上传应用图标。

  2. 获取凭证与配置权限：

    • 在应用详情页的“凭证与基础信息”部分，找到App ID和App Secret。这是应用的身份标识，务必妥善保存，后续配置OpenClaw会用到。
    • 在“权限管理”部分，为应用添加以下权限：
      • im:message（获取与发送单聊、群组消息）
      • im:message.group_at_msg（接收群聊中@机器人的消息）
      • im:message.p2p_msg（接收单聊消息）
      • 根据是否需要读取群信息，考虑添加im:chat（获取群组信息）权限。
    • 添加权限后，点击“版本管理与发布”，创建一个版本并申请发布。通常需要企业管理员在“飞书管理后台”审核通过。

  3. 配置事件订阅（核心）：

    • 在应用功能列表中找到“事件订阅”。
    • 请求地址URL：这里填写你未来的OpenClaw服务地址，格式为https://bot.yourdomain.com/feishu/event。注意，因为域名解析和Nginx尚未配置，此时填写后飞书验证会失败，可以先留空或随意填写，等服务器端配置好后再回来更新并验证。
    • 验证Token：飞书会提供一个Verification Token，用于验证请求来源。同样需要保存。
    • 加密密钥：如果需要更高的安全性，可以配置Encrypt Key。OpenClaw通常支持解密。
    • 在“订阅事件”中，添加你需要的事件，例如im.message.receive_v1（接收消息事件）。

3.3 钉钉开放平台机器人创建与配置

钉钉的配置流程与飞书类似，但细节有所不同。

  1. 创建企业内部应用：

    • 访问 钉钉开放平台 ，使用企业管理员账号登录。
    • 在“应用开发”->“企业内部开发”中，点击“创建应用”，选择“H5微应用”或“机器人”。这里我们通常选择“机器人”。
    • 填写应用名称、描述等基本信息。

  2. 获取凭证与配置权限：

    • 应用创建后，在“应用信息”页面找到AppKey和AppSecret，这是钉钉应用的凭证。
    • 在“权限管理”中，为机器人添加通讯权限，例如“企业内聊天权限”、“机器人可发送消息”等。

  3. 配置机器人信息与Webhook：

    • 在“机器人”功能页面，配置机器人头像、名称等。
    • 最关键的是“消息接收”设置。将“消息接收模式”切换为“加密模式”或“自定义关键词”（初期测试可用“自定义关键词”，如“OpenClaw”）。
    • Webhook地址：这里填写你未来的OpenClaw服务地址，格式为https://bot.yourdomain.com/dingtalk/webhook。和飞书一样，此时服务未就绪，可稍后配置。
    • 钉钉会生成一个access_token，但更关键的是，在加密模式下，它会提供aes_key和token（用于签名验证）。这些信息都需要保存。

实操心得：在配置开放平台时，建议使用一个笔记软件（如飞书文档或钉钉文档）将所有凭证信息集中保存，包括：App ID/Key, App Secret, Verification Token, Encrypt Key, Webhook URL等。这些信息是连接三方的钥匙，丢失或混淆会导致调试异常困难。另外，飞书和钉钉的“权限审核”可能需要一些时间（尤其是飞书），请提前规划。

4. 核心部署流程：从服务器到可访问的服务

准备工作完成后，我们开始进入核心的部署环节。这里我将提供一个基于Docker Compose的“一键部署”脚本思路和分步详解。真正的“一键”是建立在前期所有正确配置之上的。

4.1 编写Docker Compose与OpenClaw配置文件

首先，在服务器上创建一个项目目录，并组织你的配置文件。

mkdir -p /opt/openclaw-deploy && cd /opt/openclaw-deploy

在这个目录下，我们主要需要三个文件：docker-compose.yml,config.yaml(OpenClaw配置),nginx.conf。

1.docker-compose.yml文件这个文件定义了我们的服务栈。

version: '3.8' services: openclaw: image: your-openclaw-image:latest # 替换为实际的OpenClaw镜像，例如 openclaw/openclaw:latest container_name: openclaw-app restart: unless-stopped volumes: - ./config.yaml:/app/config.yaml # 挂载配置文件 - ./data:/app/data # 挂载数据持久化目录 environment: - TZ=Asia/Shanghai networks: - openclaw-network nginx: image: nginx:alpine container_name: openclaw-nginx restart: unless-stopped ports: - "80:80" - "443:443" volumes: - ./nginx.conf:/etc/nginx/nginx.conf - ./ssl:/etc/nginx/ssl # 用于存放SSL证书 - ./html:/usr/share/nginx/html # 可选，用于存放静态文件或证书验证文件 depends_on: - openclaw networks: - openclaw-network networks: openclaw-network: driver: bridge

2.config.yaml文件 (OpenClaw配置示例)这是OpenClaw的核心配置文件，你需要根据实际情况修改。

# OpenClaw 配置文件示例 server: host: 0.0.0.0 port: 8000 # OpenClaw服务内部端口 # 大模型后端配置 (以使用Ollama本地模型为例) model: provider: "ollama" # 也可以是 openai, anthropic, qwen等 base_url: "http://host.docker.internal:11434" # 如果Ollama运行在宿主机，Docker容器内这样访问 model: "llama3.1:8b" # 指定模型名称 api_key: "sk-no-key-required" # 本地Ollama通常不需要key # 飞书机器人配置 feishu: enabled: true app_id: "${FEISHU_APP_ID}" # 建议从环境变量读取，更安全 app_secret: "${FEISHU_APP_SECRET}" verification_token: "${FEISHU_VERIFICATION_TOKEN}" encrypt_key: "${FEISHU_ENCRYPT_KEY}" # 如果未加密可留空 # 事件回调路径，需要与Nginx配置和飞书平台配置一致 event_callback_path: "/feishu/event" # 钉钉机器人配置 dingtalk: enabled: true app_key: "${DINGTALK_APP_KEY}" app_secret: "${DINGTALK_APP_SECRET}" # 加密模式下需要的参数 aes_key: "${DINGTALK_AES_KEY}" token: "${DINGTALK_TOKEN}" # Webhook路径 webhook_path: "/dingtalk/webhook" # 日志与其它配置 log: level: "INFO" file: "/app/data/openclaw.log"

3.nginx.conf文件这个Nginx配置负责HTTPS、反向代理和静态文件服务。

events { worker_connections 1024; } http { include mime.types; default_type application/octet-stream; sendfile on; keepalive_timeout 65; # 定义一个上游服务器，指向OpenClaw容器 upstream openclaw_backend { server openclaw-app:8000; # 使用Docker Compose服务名 } # HTTP服务器块，用于重定向到HTTPS和证书验证 server { listen 80; server_name bot.yourdomain.com; # 替换为你的域名 # 用于Let‘s Encrypt证书验证的路径，如果你使用acme.sh等工具，可能需要此配置 location /.well-known/acme-challenge/ { root /usr/share/nginx/html; } # 将所有HTTP请求重定向到HTTPS location / { return 301 https://$server_name$request_uri; } } # HTTPS服务器块 server { listen 443 ssl http2; server_name bot.yourdomain.com; # 替换为你的域名 # SSL证书路径 (需提前将证书文件放入 ./ssl 目录) ssl_certificate /etc/nginx/ssl/fullchain.pem; ssl_certificate_key /etc/nginx/ssl/privkey.pem; ssl_protocols TLSv1.2 TLSv1.3; ssl_ciphers HIGH:!aNULL:!MD5; # 反向代理到OpenClaw的飞书事件接口 location /feishu/event { proxy_pass http://openclaw_backend/feishu/event; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; # 飞书要求较短的超时时间 proxy_read_timeout 30s; proxy_send_timeout 30s; } # 反向代理到OpenClaw的钉钉Webhook接口 location /dingtalk/webhook { proxy_pass http://openclaw_backend/dingtalk/webhook; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; } # 可选：OpenClaw的管理界面或健康检查接口 location / { proxy_pass http://openclaw_backend/; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; } } }

4.2 获取与配置SSL证书（HTTPS必备）

飞书和钉钉的Webhook强制要求HTTPS。我们需要为域名bot.yourdomain.com申请SSL证书。这里推荐使用acme.sh脚本配合腾讯云DNSPod API自动申请和续签Let‘s Encrypt免费证书。

  1. 安装acme.sh：

    curl https://get.acme.sh | sh -s email=your-email@example.com source ~/.bashrc # 或重新登录SSH

  2. 配置腾讯云DNSPod API密钥：

    • 在腾讯云 API密钥管理 页面，创建一对SecretId和SecretKey。
    • 在服务器上设置环境变量（注意：在生产环境中，建议使用更安全的方式管理密钥，如配置文件）：
    export DP_Id="你的DNSPod ID（实际是SecretId）" export DP_Key="你的DNSPod Key（实际是SecretKey）"

  3. 申请证书：

    acme.sh --issue --dns dns_dp -d bot.yourdomain.com --keylength ec-256

    这条命令会利用DNSPod API自动为你的域名添加一条TXT记录以完成验证，并签发ECC证书（更安全高效）。

  4. 安装证书到Nginx目录：

    # 创建ssl目录 mkdir -p /opt/openclaw-deploy/ssl # 安装/复制证书文件 acme.sh --install-cert -d bot.yourdomain.com \ --key-file /opt/openclaw-deploy/ssl/privkey.pem \ --fullchain-file /opt/openclaw-deploy/ssl/fullchain.pem \ --reloadcmd "cd /opt/openclaw-deploy && docker-compose restart nginx"

    最后一条--reloadcmd参数非常有用，它会在证书自动续签后，自动执行命令重启Nginx容器加载新证书。

4.3 启动服务与验证基础功能

现在，所有组件都已就绪。

  1. 设置环境变量： 创建一个.env文件来管理敏感信息，避免硬编码在config.yaml中。

    cd /opt/openclaw-deploy cat > .env << EOF FEISHU_APP_ID=你的飞书App ID FEISHU_APP_SECRET=你的飞书App Secret FEISHU_VERIFICATION_TOKEN=你的飞书Verification Token FEISHU_ENCRYPT_KEY=你的飞书Encrypt Key（如果没有则留空或注释掉） DINGTALK_APP_KEY=你的钉钉AppKey DINGTALK_APP_SECRET=你的钉钉AppSecret DINGTALK_AES_KEY=你的钉钉AES Key DINGTALK_TOKEN=你的钉钉Token EOF

    然后在docker-compose.yml中为openclaw服务添加环境变量文件引用：

    services: openclaw: ... env_file: - .env # 加载环境变量文件 ...

  2. 启动Docker Compose服务栈：

    cd /opt/openclaw-deploy docker-compose up -d

    使用docker-compose logs -f openclaw和docker-compose logs -f nginx查看实时日志，确保没有报错。

  3. 验证服务可访问性：

    • 在浏览器访问https://bot.yourdomain.com(如果配置了管理界面) 或https://bot.yourdomain.com/health(如果OpenClaw有健康检查端点)，应该能看到响应。
    • 使用curl命令测试：
      curl -k https://bot.yourdomain.com/feishu/event # 或者更详细的测试 curl -v -X POST https://bot.yourdomain.com/feishu/event -H "Content-Type: application/json" -d '{"test":"hello"}'
      观察Nginx和OpenClaw的日志，看请求是否被正确接收和处理。

5. 飞书与钉钉机器人接入调试详解

服务跑起来后，最关键的环节是将飞书和钉钉的配置指向它，并完成验证和调试。

5.1 完成飞书事件订阅URL验证

  1. 回到飞书开放平台，进入你的应用“事件订阅”页面。
  2. 将“请求地址URL”更新为https://bot.yourdomain.com/feishu/event。
  3. 点击“保存”。飞书会立即向这个地址发送一个带有type: “url_verification”的POST请求。
  4. OpenClaw服务需要正确响应这个验证请求。一个标准的验证处理逻辑是：从请求体中取出challenge字段的值，将其直接作为JSON响应的challenge字段值返回。
    // 飞书发送的请求体示例 { "type": "url_verification", "token": "你的Verification Token", "challenge": "随机字符串" } // OpenClaw需要返回的响应体 { "challenge": "上一步收到的随机字符串" }
  5. 如果OpenClaw的飞书模块配置正确（verification_token匹配），并且Nginx反向代理工作正常，飞书平台会显示“验证成功”。如果失败，请依次检查：
    • Nginx和OpenClaw容器日志，看请求是否到达以及是否有错误。
    • 服务器安全组/防火墙是否开放了443端口。
    • 域名解析是否正确（ping bot.yourdomain.com看是否指向服务器IP）。
    • OpenClaw配置中的verification_token是否与平台一致。

5.2 完成钉钉机器人Webhook配置

  1. 回到钉钉开放平台，进入你的机器人“消息接收”设置。
  2. 将“Webhook地址”更新为https://bot.yourdomain.com/dingtalk/webhook。
  3. 钉钉在保存时，可能会发送一个测试事件来验证地址有效性。同样，OpenClaw的钉钉模块需要能够正确处理这个验证请求（通常是校验签名）。
  4. 验证通过后，保存设置。

5.3 消息接收与发送全链路测试

这是最激动人心的环节，测试整个流程是否跑通。

  1. 飞书测试：

    • 在飞书开放平台“版本管理与发布”中，确保应用已发布并被审核通过。
    • 在“应用功能”->“权限管理”中，将机器人添加到某个群聊。
    • 在群聊中@你的机器人，并发送一条消息，例如“@OpenClaw助手 你好”。
    • 观察服务器上OpenClaw的日志。你应该能看到类似Received message from Feishu: ...的日志条目，并且OpenClaw在处理后，会尝试调用大模型并回复。
    • 如果机器人没有回复，检查日志中的错误信息。常见问题包括：权限不足（某些权限需要重新发布版本）、消息格式解析错误、大模型API调用失败等。

  2. 钉钉测试：

    • 在钉钉开放平台，将机器人发布到企业。
    • 在钉钉群聊的“智能群助手”中添加你创建的机器人。
    • 在群聊中@机器人发送消息。如果配置了“自定义关键词”，消息中需包含该关键词。
    • 同样，观察OpenClaw的日志和钉钉群内的回复。

注意事项：在调试阶段，日志是你的最佳朋友。确保OpenClaw的日志级别设置为INFO或DEBUG。飞书和钉钉的消息体结构复杂，首次接入时很容易在JSON解析或字段映射上出错。仔细对比官方文档和OpenClaw的源码或文档，确认事件处理逻辑是否正确。另外，注意网络超时问题，如果大模型响应慢，可能导致飞书/钉钉侧认为推送失败而重试，需要在Nginx和OpenClaw中合理配置超时时间。

6. 进阶配置、优化与故障排查

当基础功能跑通后，我们可以考虑一些进阶优化，并系统化地整理常见问题。

6.1 配置大模型后端：云端API与本地部署抉择

OpenClaw的强大在于其模型无关性。你可以在config.yaml中轻松切换不同的模型提供商。

  • 使用云端API（推荐初试）：

    model: provider: "openai" # 或 "anthropic", "qwen", "deepseek"等 base_url: "https://api.deepseek.com/v1" # 以DeepSeek为例 model: "deepseek-chat" api_key: "sk-your-deepseek-api-key-here"

    优势是简单、快速、无需考虑算力。劣势是会产生API费用，且对话数据会经过第三方。

  • 使用本地Ollama：

    model: provider: "ollama" base_url: "http://host.docker.internal:11434" # 关键！让容器访问宿主机服务 model: "qwen2.5:7b" # 或 llama3.2, gemma2 等

    需要在宿主机上安装并运行Ollama。这种方式数据完全私有，但需要足够的服务器资源。对于Docker容器访问宿主机服务，host.docker.internal是Docker提供的特殊域名。如果不行，可能需要使用宿主机的真实内网IP（如172.17.0.1），但这在跨主机部署时不够灵活。

  • 使用国内兼容OpenAI API的平台： 许多国内平台提供了兼容OpenAI API的接口，只需修改base_url和api_key即可。

    model: provider: "openai" base_url: "https://dashscope.aliyuncs.com/compatible-mode/v1" # 阿里灵积 model: "qwen-max" api_key: "sk-your-aliyun-api-key"

6.2 部署优化与安全加固

  1. 使用非root用户运行Docker容器：在Dockerfile或docker-compose.yml中，可以指定user: “1000:1000”来以非root用户身份运行应用，减少安全风险。
  2. 配置Nginx限流与缓存：为防止恶意刷接口，可以在Nginx中针对/feishu/event和/dingtalk/webhook路径配置限流。
    # 在http块中定义限流区 limit_req_zone $binary_remote_addr zone=im_webhook:10m rate=10r/s; # 在location块中应用 location /feishu/event { limit_req zone=im_webhook burst=20 nodelay; ... # 其他代理配置 }
  3. 定期备份与更新：将docker-compose.yml,config.yaml,.env等配置文件纳入版本控制（如Git）。定期执行docker-compose pull获取最新的OpenClaw镜像。使用cron定时任务自动备份./data目录下的持久化数据。
  4. 监控与告警：利用腾讯云自带的云监控，为服务器设置CPU、内存、磁盘使用率的告警。在OpenClaw应用内，可以增加健康检查端点/health，并配置外部监控服务定期探测。

6.3 常见问题与排查技巧实录

以下是我在多次部署中遇到的典型问题及解决方法：

问题现象可能原因排查步骤与解决方案
飞书/钉钉URL验证失败1. 网络不通（端口未开、安全组、防火墙）
2. Nginx配置错误或未重启
3. OpenClaw服务未运行或崩溃
4. 域名解析未生效		1.curl -v https://bot.yourdomain.com本地测试，telnet bot.yourdomain.com 443测端口。
2.docker-compose logs nginx看Nginx错误日志。
3.docker-compose ps查看容器状态，docker-compose logs openclaw看应用日志。
4.nslookup bot.yourdomain.com检查DNS。
机器人收不到群消息1. 飞书/钉钉应用权限未开通或未发布
2. 机器人未添加到群聊
3. 事件订阅未配置正确事件类型
4. OpenClaw配置的Token/Key错误		1. 检查开放平台“权限管理”和“版本发布”状态。
2. 确认已在群内添加了该机器人。
3. 核对事件订阅列表，确保有im.message.receive_v1等。
4. 检查.env文件中的凭证是否与平台一致，注意不要有多余空格。
机器人能收到消息但不回复1. 大模型配置错误或API调用失败
2. 消息格式处理出错
3. 网络超时
4. 飞书/钉钉返回消息时出错		1. 查看OpenClaw日志，重点看调用模型API时的错误信息。
2. 检查日志中解析飞书/钉钉消息体的部分是否有异常。
3. 适当增加Nginx的proxy_read_timeout和OpenClaw自身的超时设置。
4. 飞书/钉钉回复消息也有频率和格式限制，查看其API返回的错误码。
HTTPS证书问题1. 证书过期
2. 证书链不完整
3. Nginx配置中证书路径错误		1.acme.sh --list查看证书状态，设置自动续签。
2. 确保Nginx配置中使用的是fullchain.pem（包含中间证书）。
3. 检查nginx.conf中ssl_certificate和ssl_certificate_key路径是否正确，以及文件权限。
Docker容器无法访问宿主机服务（如Ollama）1. 使用localhost或127.0.0.1
2. 宿主机防火墙阻止了容器网络访问		1. 在容器内使用host.docker.internal（Linux Docker Desktop或较新版本）或宿主机的桥接网络IP（如172.17.0.1）。
2. 检查宿主机防火墙规则，或尝试在docker-compose.yml中使用network_mode: “host”（不推荐，有安全风险）进行测试。

独家避坑技巧：

  • 分阶段调试：不要试图一次性配置完所有东西。先确保docker-compose up能跑起来，再单独用curl测试Nginx和OpenClaw的基础HTTP接口，然后配置HTTPS，最后再去开放平台配置Webhook。每步都确认无误后再进行下一步。
  • 善用日志：在config.yaml中把日志级别调到DEBUG，你会看到所有进出的HTTP请求和响应详情，这对于排查飞书/钉钉的复杂消息体格式问题至关重要。
  • 环境变量管理：永远不要将密钥硬编码在配置文件中。使用.env文件，并在.gitignore中忽略它。可以考虑使用 Docker Secrets 或专门的密钥管理服务（如腾讯云的“密钥管理系统SSM”）进行更专业的管理。
  • 准备回滚方案：在修改生产环境配置前，先给当前的docker-compose.yml和config.yaml打个备份。如果新配置导致服务不可用，可以快速docker-compose down然后恢复旧配置重启。
编程学习 学习日记 实战经验
← 返回列表