qoderwake需通过docker原生集成实现容器化部署：一、拉取并验证cli镜像；二、构建注入github token的定制容器；三、用docker compose编排多服务协同；四、启用wsl2集成支持openeuler调试；五、配置firewalld与selinux放行端口。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您希望将QoderWake数字员工运行于高度可控、可复现且与宿主环境隔离的容器化环境中，则需绕过其默认桌面端部署路径，转而采用Docker原生集成方案。该方案要求QoderWake服务组件完全容器化，包括核心运行时、事件总线、管理界面及外部Connector接入层。以下是实现QoderWake与Docker深度集成的具体操作路径：
一、拉取并验证QoderWake官方CLI镜像
使用官方维护的轻量级Linux CLI镜像作为容器化基础运行时，该镜像已预装qodercli v1.8.3+、Python 3.11、OpenClaw Skill运行依赖及最小化系统工具集，避免手动配置环境导致的版本漂移问题。
1、执行镜像拉取命令：docker pull registry.cn-hangzhou.aliyuncs.com/qoder/qoderwake:26.4.0-cli
2、校验镜像完整性：运行docker inspect registry.cn-hangzhou.aliyuncs.com/qoder/qoderwake:26.4.0-cli | grep -A 5 "Created"，确认创建时间戳为2026年5月20日或之后
3、启动临时容器验证运行时可用性：docker run --rm registry.cn-hangzhou.aliyuncs.com/qoder/qoderwake:26.4.0-cli qodercli --version
二、构建带GitHub Token注入的定制化运行容器
为保障生产环境安全，QoderWake需在容器启动阶段注入具备read:org、workflow:admin、contents:read-write权限的GitHub Personal Access Token，而非在运行时通过交互式登录暴露凭证。此方式实现凭证零明文落盘、生命周期绑定容器实例。
1、创建本地配置卷目录：mkdir -p /opt/qoder-sandbox/config
2、将GitHub Token写入加密挂载点：echo "GITHUB_TOKEN=ghp_xxx..." > /opt/qoder-sandbox/config/.env
3、启动容器并挂载配置与工作目录：docker run -d --name qoderwake-prod --restart=always -v /opt/qoder-sandbox/config:/app/.env:ro -v /opt/qoder-sandbox/workspace:/app/workspace -p 8080:8080 -p 9000:9000 registry.cn-hangzhou.aliyuncs.com/qoder/qoderwake:26.4.0-cli sh -c "qodercli serve --port 8080 --event-bus-port 9000"
三、配置Docker Compose编排多服务协同架构
当QoderWake需与OpenClaw飞书接入服务、Qwen3-ASR语音识别模块协同工作时，单容器部署无法满足跨进程通信与资源配额控制需求。Docker Compose可声明式定义服务依赖、网络策略与健康检查机制，确保各组件按序就绪并自动重连。
1、创建docker-compose.yml文件，内容包含qoderwake、openclaw、qwen3-asr三个service块，其中qoderwake依赖openclaw的9090端口，openclaw依赖qwen3-asr的8000端口
2、在qoderwake service中设置environment字段，显式注入OPENCLAW_URL=http://openclaw:9090与ASR_ENDPOINT=http://qwen3-asr:8000/transcribe
OpenClaw专家 — 用于任何OpenClaw问题或需求，包括配置错误、网关崩溃、网关未启动、斜杠指令、频道路由等。
3、执行编排启动：docker compose up -d，随后运行docker compose logs -f qoderwake观察初始化日志，确认出现“Agent registered to OpenClaw”与“ASR channel established”字样
四、启用Docker Desktop WSL2集成以支持openEuler开发沙盒
在Windows平台下，若需基于openEuler 24.03 WSL2发行版进行QoderWake内核级调试或国产化适配验证，必须启用Docker Desktop对WSL2分发版的直通访问能力，使容器可直接调用WSL2内核特性（如cgroup v2、overlayfs）并共享主机GPU设备。
1、打开Docker Desktop Settings → Resources → WSL Integration，勾选openEuler-24.03并点击Apply & Restart
2、进入WSL2终端，执行sudo systemctl start docker确保Docker守护进程在WSL2内运行
3、在WSL2中拉取QoderWake镜像：docker pull registry.cn-hangzhou.aliyuncs.com/qoder/qoderwake:26.4.0-cli，验证镜像ID与Windows主机端一致
4、启动容器并挂载WSL2本地路径：docker run -v /home/user/qoder-data:/app/data -p 8080:8080 registry.cn-hangzhou.aliyuncs.com/qoder/qoderwake:26.4.0-cli qodercli init --data-dir /app/data
五、配置防火墙与SELinux策略以放行容器网络流量
在CentOS 8+/RHEL 9等启用了firewalld与SELinux的生产环境中，Docker默认桥接网络（docker0）可能被系统策略拦截，导致QoderWake管理界面（8080）、事件总线（9000）及HTTPS反向代理（443）端口对外不可达。必须显式放行容器端口并授予容器进程网络绑定权限。
1、向firewalld永久添加端口：sudo firewall-cmd --permanent --add-port=8080/tcp && sudo firewall-cmd --permanent --add-port=9000/tcp && sudo firewall-cmd --permanent --add-port=443/tcp
2、重载防火墙规则：sudo firewall-cmd --reload
3、为Docker守护进程启用SELinux容器网络标签：sudo setsebool -P container_manage_cgroup on
4、验证SELinux上下文是否生效：sudo semanage port -l | grep http_port_t，确认输出中包含tcp 8080, 8000, 443
