btpanel/baota镜像真实存在但非bt.cn官方支持，启动前须加--privileged、挂载/www和/server/panel、查日志获取账号密码；推荐host网络模式但需规避端口冲突与安全组拦截；禁用22/3306等高危端口映射，生产环境不建议容器化部署宝塔。
btpanel/baota 镜像是真实存在的，但“官方”二字需打引号——它由堡塔安全（非 bt.cn 官网运营主体）维护发布，且明确不兼容 bt.cn 官方技术支持体系。直接拉镜像跑起来看似简单，实际极易卡在初始化、端口冲突、数据丢失或功能残缺上。
用 btpanel/baota:latest 启动容器前必须确认的三件事
这不是普通 Web 应用镜像，它依赖内核级操作和完整系统路径结构：
-
--privileged必须加：宝塔要改/proc/sys/net/ipv4/ip_forward、加载 iptables 模块、挂载/sys和/proc，普通--cap-add不够用 -
/www和/www/server/panel必须挂载：否则每次docker restart都等于重装，网站文件、数据库、面板配置全丢 - 首次启动后不会自动输出账号密码：得手动查日志
docker logs baota | grep -E "(username|password)"，很多用户卡在这一步以为“没启动成功”
Host 网络模式比端口映射更可靠，但有隐藏限制
用 --net=host 可绕过端口映射失败、内部 IP 判定错误（如 SSL 申请失败）、FTP 主动模式异常等问题，但要注意：
OpenClaw Docker Setup
下载
在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...
- 容器直接共享宿主机网络命名空间，
iptables规则、firewalld策略、宿主机上已占的 80/443/8888 端口会直接冲突 -
宝塔面板自身监听
0.0.0.0:8888，但在 host 模式下，它实际绑定的是宿主机 IP，若宿主机有多个 IP（如群晖多网卡），需确认访问时用的是哪个 IP - 部分云厂商（阿里云、腾讯云）的安全组策略会拦截 host 模式下的非标准端口流量，即使容器里开了 8888，也可能被拦在入口
docker run 命令里最容易漏掉的关键参数
只写 -p 8888:8888 是不够的，宝塔运行时还会动态启用其他端口：
-
-p 80:80 -p 443:443必须显式声明：否则网站无法通过 HTTP/HTTPS 访问，反向代理也会失效 -
-v /path/to/www:/www和-v /path/to/panel:/www/server/panel要分开挂载：前者存网站和数据库文件，后者存面板核心配置与插件状态，混挂会导致升级失败 -
--restart unless-stopped推荐加上：避免服务器重启后面板离线，但别用always，否则初始化失败时会无限重启刷日志
管理端口绝不能映射到宿主机公网，这是最常被忽略的安全雷区
看到教程里写 -p 22:22 -p 3306:3306 就照抄？危险：
- 映射 22 端口 = 把容器内精简版 OpenSSH 直接暴露给公网，无 fail2ban、无登录审计、默认密码弱，10 分钟内大概率被爆破
- 映射 3306 = MySQL root 密码一旦泄露，整个容器数据可被拖库；正确做法是进容器执行
docker exec -it baota mysql -u root -p - FTP 端口（20/21）映射后，在被动模式下容易因 NAT 穿透失败导致上传中断，不如用宝塔内置 FTP 功能或 SFTP
wiznote/wizserver、gitlab/gitlab-ce）。把宝塔自己塞进容器，本质是在用容器模拟一台完整服务器——它能跑，但不是设计初衷，也不该成为生产首选。
