1. OpenClaw 云端部署到底难在哪个人开发者最关心的成本与安全边界OpenClaw 是一个开源的 AI Agent 运行框架你可以把它理解成一个「数字实习生」的躯壳——它本身不带大脑但能接上通义千问、DeepSeek、文心一言这类大模型然后真的去操作文件、跑命令、开浏览器、发消息。适合谁适合想用自然语言驱动服务器干活、又不想把生产环境搞乱的小型团队和个人开发者。但真到自己动手问题就来了。我见过太多人卡在三个地方第一云主机选型没谱2核2G 跑起来卡成幻灯片4核8G 又觉得浪费钱第二环境变量和鉴权配置全靠猜API Key 往哪塞、Token 怎么生成、端口开哪个文档翻半天第三安全边界模糊装完就把 18789 端口裸奔在公网Token 截图发群里等于把家门钥匙挂门口。这篇就按「阿里云 / 腾讯云 / 百度云」三条线把可复制的选型清单、配置模板、连通性验证动作一次讲透。你跟着做能省下那笔莫名其妙的「安装费」也能避开我踩过的坑。先说成本。OpenClaw 本体免费花钱的地方在云主机和大模型 API。个人用2核4GB 是甜点配置跑一个 Agent 实例加基础 Skills 足够如果同时接飞书、钉钉多个消息通道建议 2核8GB。地域选中国香港或新加坡免备案、联网搜索不受限延迟对国内访问也友好。按量付费先开一个月实测稳定再转包年。再说安全。核心原则就一条最小权限 凭据不落地。云主机只放行 18789 一个端口SSH 用密钥登录别用密码API Key 和 Token 通过环境变量注入不要写死在配置文件里Web 控制台的访问链接带 Token等于管理员权限任何人拿到都能操作你的服务器所以别分享、别截图、别发群。下面进入实操。我会按「前置准备 → 可复制配置 → 验证请求 → 错排查」的顺序走每个云厂商的差异点单独标出来。你不需要三台都买选一家跟着做就行。2. TaoToken 前置准备API Key 与模型接入的通用底座不管你选阿里云、腾讯云还是百度云OpenClaw 都需要一个「大脑」——也就是大模型的 API 接入点。这里我用 TaoToken 作为统一的模型接入层来演示原因是它把多家模型的调用格式做了归一Base URL 和 Key 的管理比较清晰换模型时不用改代码只改配置。你需要先拿到两样东西API Key 和 Base URL。访问 https://taotoken.net/api 可以看到接口说明Key 在控制台的 API Keys 页面生成。生成后复制保存格式通常是一串以特定前缀开头的字符。这个 Key 就是 OpenClaw 调用模型的凭证等同于你的账户密码不要提交到 Git不要贴在公开聊天里。模型 ID 怎么选OpenClaw 的配置里需要填一个 model 字段。如果你做日常对话和文件整理选一个通用对话模型即可如果涉及代码生成选 coding 能力强的如果要做长文档总结选上下文窗口大的。TaoToken 的模型对话页面可以直接测试哪个模型响应快、效果好先在那里试一轮确定 model ID 再填进 OpenClaw 配置。环境变量是推荐的注入方式。在云主机的 shell 里你可以这样设置export TAOTOKEN_API_KEY你的Key export TAOTOKEN_BASE_URLhttps://taotoken.net/api export OPENCLAW_MODEL你选定的模型ID这样 OpenClaw 启动时会自动读取不需要在配置文件里硬编码。如果你用 Docker 部署就在docker run时加-e参数或者写进docker-compose.yml的environment段。有一点要注意TaoToken 是模型接入层不是云主机替代品。你仍然需要一台云服务器来跑 OpenClaw 本体。云主机负责「手脚」TaoToken 负责「大脑」两者配合才能让 Agent 真正干活。如果你打算长期跑编码类 Agent 任务可以了解一下 Coding Plan它针对高频调用场景做了额度优化比按量计费更划算。具体在 https://taotoken.net/api 的套餐说明里有对比。前置准备做完你应该手上有一台云主机或即将购买、一个 API Key、一个 Base URL、一个 model ID。接下来进入各云厂商的部署配置。3. 可复制配置阿里云 / 腾讯云 / 百度云三套部署模板这一节是全文的核心我按三家云厂商分别给出可复制的配置片段。你选一家跟着做路径和参数都对照官方控制台的实际字段。3.1 阿里云计算巢部署配置阿里云计算巢有 OpenClaw 社区版模板一键部署最省事。购买时地域选中国香港实例规格 2核4GB系统盘 40GB 起步。部署完成后进入实例详情用 Workbench 远程连接登录。生成管理员 Token 的命令docker exec -it openclaw openclaw token generate --admin执行后会输出一串字符这就是你的登录 Token。然后配置模型接入编辑 OpenClaw 的环境配置文件{ model: { provider: openai-compatible, baseUrl: https://taotoken.net/api, apiKey: 你的TaoToken Key, modelId: 你选定的模型ID }, server: { port: 18789, host: 0.0.0.0 }, security: { requireToken: true, allowedOrigins: [http://你的公网IP:18789] } }把这段保存为openclaw.json放进容器挂载的配置目录重启容器生效。阿里云的安全组需要放行 18789 端口入方向来源建议填你的本地公网 IP不要填 0.0.0.0/0。3.2 腾讯云 Lighthouse 部署配置腾讯云轻量应用服务器有 OpenClaw 应用镜像购买时选中国香港或硅谷套餐 2核4GB。创建完成后用 WebShell 或 SSH 登录执行配置向导openclaw onboard向导会依次问模型供应商、API Key、消息通道。模型供应商选openai-compatibleBase URL 填https://taotoken.net/apiAPI Key 粘贴你的 TaoToken Keymodel ID 填你选定的模型。消息通道先选 Web后面再配飞书钉钉。设置开机自启openclaw daemon install openclaw daemon start腾讯云 Lighthouse 的防火墙默认放通 18789但建议你手动确认一下入站规则里 18789 的来源限制为你的 IP。Token 生成用openclaw token generate3.3 百度智能云部署配置百度智能云的轻量应用服务器 LS 提供可视化配置全程网页点击。购买时选 OpenClaw 应用镜像2核4GB地域选中国香港或华北-北京。创建完成后进入实例详情点「应用配置」Tab。在模型配置区域选择「自定义模型」填入[model] provider openai-compatible base_url https://taotoken.net/api api_key 你的TaoToken Key model_id 你选定的模型ID [server] port 18789 host 0.0.0.0 [auth] token_required true百度云会自动创建千帆 API Key但你可以覆盖为 TaoToken 的配置。端口放行点「一键放行」系统会打开 18789。配置完成后点「获取网站地址」会生成带 Token 的完整链接。三家的共同点是Base URL 都填https://taotoken.net/apiAPI Key 都用 TaoToken 的 Keymodel ID 都填你选定的模型。差异只在操作路径和配置文件格式。如果你用 Cline MCP 或 Claude Code 这类工具配置逻辑一样把 Base URL、Key、Model ID 三件套填对就行。4. 验证请求与成功结果确认服务真正可用配置写完不代表能用必须做连通性验证。我按「模型调用 → Web 控制台 → 权限最小化」三步走。第一步验证模型调用。在云主机 shell 里执行curl -X POST https://taotoken.net/api/v1/chat/completions \ -H Authorization: Bearer $TAOTOKEN_API_KEY \ -H Content-Type: application/json \ -d { model: $OPENCLAW_MODEL, messages: [{role: user, content: 回复OK}] }如果返回 JSON 里有choices字段且内容为 OK说明模型接入正常。如果返回 401检查 Key 是否复制完整如果返回 404检查 Base URL 是否多了或少了斜杠。第二步验证 OpenClaw 服务。在浏览器打开http://你的公网IP:18789/?token你的Token看到聊天界面说明 Web 控制台正常。在输入框里发一句「列出当前目录文件」如果 Agent 返回文件列表说明「大脑」和「手脚」已经打通。第三步权限最小化验证。检查三件事安全组只放行 18789 且来源限制为你的 IPSSH 登录用密钥而非密码API Key 和 Token 没有出现在任何日志或前端代码里。你可以用grep -r sk- /path/to/openclaw/config/确认没有明文 Key 残留。如果发现立即轮换 Key 并改用环境变量注入。成功的结果是模型能回、Agent 能干活、外部无法未授权访问。三者缺一不可。5. 本篇常见错排查401、local proxy failed、reading choices、OAuth部署过程中最容易撞上的四类报错我逐个拆解。401 Unauthorized最常见。原因通常是 API Key 复制时带了空格、Key 已过期、或者 Base URL 和 Key 不匹配。排查动作重新生成 Key用 curl 单独测模型接口确认 Key 本身有效再检查 OpenClaw 配置里的 Key 字段有没有被截断。如果你用的是 Codex 的 auth.json确认OPENAI_API_KEY字段填的是 TaoToken 的 KeyOPENAI_BASE_URL填https://taotoken.net/api。local proxy failed这个报错通常出现在 OpenClaw 启动时表示它尝试连接本地代理但失败。原因是环境变量里残留了HTTP_PROXY或HTTPS_PROXY指向一个不存在的地址。排查动作执行env | grep -i proxy如果有输出用unset HTTP_PROXY HTTPS_PROXY清掉再重启 OpenClaw。注意这里说的是清理本地无效代理配置不是让你去配代理。reading choices 报错完整报错通常是error reading choices from response意思是模型返回的 JSON 结构不符合预期。原因可能是 Base URL 填成了/v1结尾但实际接口不需要或者 model ID 填错导致返回了错误对象。排查动作用 curl 直接打模型接口看返回的 JSON 顶层有没有choices如果没有检查 model ID 是否在 TaoToken 的模型列表里。OAuth 相关报错如果你用 Claude Code 或类似工具接入可能会遇到 OAuth token 过期。OpenClaw 本身不走 OAuth但如果你在消息通道里配了飞书或钉钉它们的 OAuth 回调地址填错会报redirect_uri mismatch。排查动作在飞书开放平台检查回调地址是否和 OpenClaw 配置里的allowedOrigins一致端口是否对得上。还有一个隐蔽的坑CC Switch 或 Cline MCP 配置时Base URL、Key、Model ID 三件套必须同时填对缺一个就报错。我建议你把这三点写成一个检查清单每次改配置后过一遍。6. 长期使用建议与接入入口部署完成只是开始长期跑起来还有几件事值得做。第一Token 定期轮换。OpenClaw 的管理员 Token 等同于服务器权限建议每月换一次。换的时候先生成新 Token验证可用后再删旧的避免服务中断。第二API Key 用量监控。在 TaoToken 控制台可以看到调用量和费用设一个预算告警避免 Agent 跑飞了烧钱。如果你做长期编码或 Agent 任务Coding Plan 的额度包比按量计费更可控。第三消息通道按需接入。先跑通 Web 控制台稳定后再接飞书或钉钉。接的时候注意回调地址和端口放行别一次开太多通道增加攻击面。如果你在配置过程中卡住可以对照接入文档排查里面按报错类型做了索引。想先试试模型效果模型对话页面可以直接测。需要管理 Key 和查看用量API Keys 页面在控制台里。最后提醒一句任何带 Token 的访问链接都不要分享。你分享出去的不是一个网页地址而是服务器的管理员权限。安全这件事省一步后面可能要花十倍力气补。
