Docker代理沙箱及故障排除

启用 Docker 代理沙箱，并修复沙箱图像、权限和 Control UI 配对。 Docker 指南的一部分。

Agent 沙箱

当通过 Docker 后端启用 agents.defaults.sandbox 时，网关在隔离的 Docker 容器内运行代理工具执行（shell、文件 read/write 等），而网关本身保留在主机上 — 围绕不受信任或多租户代理会话的硬墙，无需容器化整个网关。

沙箱范围可以是每个代理（默认）、每个会话或共享；每个示波器都有自己的工作空间，安装在 /workspace。您还可以配置 allow/deny 工具策略、网络隔离、资源限制和浏览器容器。

完整配置、镜像、安全说明和多代理配置文件请参见：

• 沙箱 -- 完整沙箱参考
• OpenShell -- OpenShell-管理的本地或远程沙箱后端
• 多代理沙箱和工具 -- 每个代理覆盖

快速启用

{  agents: {    defaults: {      sandbox: {        mode: "non-main", // off | non-main | all        scope: "agent", // session | agent | shared      },    },  },}

构建默认沙箱镜像（从源码检出目录）：

scripts/sandbox-setup.sh

对于没有源签出的 npm 安装，请参阅 沙箱§图像和设置 以了解内联 docker build 命令。

故障排查

docker compose run --rm openclaw-cli dashboard --no-opendocker compose run --rm openclaw-cli devices listdocker compose run --rm openclaw-cli devices approve <requestId>

docker compose run --rm openclaw-cli config set --batch-json '[{"path":"gateway.mode","value":"local"},{"path":"gateway.bind","value":"lan"}]'docker compose run --rm openclaw-cli devices list --url ws://127.0.0.1:18789