Openclaw Deploy

核心用法

OpenClaw Deploy 是一款专注于应用部署自动化的工具集，主要提供三种核心能力：

1. 便携包构建 — 通过 ./scripts/build-portable.sh 生成 clean（无个人数据）和 full（含配置）两种版本的压缩包，便于分发与迁移
2. Docker 镜像构建 — 可选的容器化部署方案，支持 clean/full 双版本镜像
3. 远程一键部署 — 通过 ./export/deploy.sh user@host version /path 命令将预打包应用推送至目标服务器并启动

显著优点

• 部署标准化：将 Node.js 应用及其依赖封装为自包含包，消除环境差异导致的部署失败
• 配置灵活性：通过 OPENCLAW_INSTALL_DIR、OPENCLAW_CONFIG_DIR 等环境变量自定义路径，避免硬编码限制
• 迁移友好：clean/full 双版本设计，兼顾安全分发（clean）与完整备份（full）两种场景
• 开箱即用：目标服务器仅需执行 install-node.sh 和 start.sh 即可启动，无需手动处理依赖

潜在缺点与局限性

• 依赖预装：目标服务器仍需预装 Node.js 22.x，并非完全零依赖
• Docker 可选但非默认：Docker 方案需额外配置，文档中仍以脚本部署为主
• 作者维护状态：由个人开发者（zfanmy-梦月儿）维护，长期更新与社区支持存疑
• 安全报告缺失：提供的安全认证为占位文本，未实际执行漏洞扫描
• 适用范围窄：专为 OpenClaw 定制，无法直接复用于其他 Node.js 项目

适合人群

• 需要频繁在不同环境部署 OpenClaw 的运维人员
• 希望实现配置备份与快速迁移的个人用户
• 具备基础 Linux/Shell 知识、能处理环境变量配置的技术用户

常规风险

• 脚本执行风险：build-portable.sh 和 deploy.sh 涉及文件系统操作与远程 rsync，需审查脚本内容后再执行
• 敏感数据泄露：full 版本包含完整配置，分发时需确保传输渠道安全
• 路径遍历隐患：尽管 v1.0.1 增加了路径验证，自定义 OUTPUT_DIR 时仍需注意权限控制
• 供应链安全：依赖 node/npm/tar/curl/rsync 等系统工具，需确保这些工具来源可信

核心用法

OpenClaw Deploy 是一款面向 OpenClaw 应用的容器化部署工具，提供两条主要工作流：

1. 便携包模式：通过 build-portable.sh 构建 clean（纯净版）或 full（含配置）两种便携包，导出为 tar.gz 格式后，配合 deploy.sh 一键推送至远程服务器并启动。
2. Docker 模式：直接构建容器镜像，利用环境变量灵活配置路径，支持 OPENCLAW_INSTALL_DIR、OPENCLAW_CONFIG_DIR 等自定义参数。

典型使用路径为：本地构建 → 导出压缩包 → 远程解压 → 执行 start.sh 启动 WebUI（默认端口 18789）。脚本内置 Node.js 22.x 依赖检查与自动安装脚本。

显著优点

• 双版本策略：clean 版适合全新部署，full 版保留用户配置，兼顾灵活性与迁移便利
• 路径安全：使用 SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)" 规范获取绝对路径，避免目录遍历风险
• 健壮性设计：全脚本采用 set -e，出错立即终止；参数通过正则验证（^(clean|full)$），防御非法输入
• 容器隔离：Docker 部署天然隔离运行环境，端口映射明确，攻击面可控
• MIT 许可开源，社区可自由审计与二次开发

潜在缺点与局限性

• 权限依赖：Docker 操作需 root 或 docker 组权限，存在特权提升风险敞口
• 外部脚本未校验：install-node.sh 直接从 GitHub Raw 拉取 NVM 安装脚本，无完整性校验（SHA256 缺失）
• 配置传输明文：full 版本打包用户配置目录，传输过程未强制加密，敏感数据可能暴露
• 生产硬ening不足：缺乏日志审计、配置加密、Docker read-only 根文件系统等企业级加固选项
• 社区规模有限：作者为个人开发者（zfanmy-梦月儿），GitHub 未经验证，长期维护稳定性存疑

适合人群

• 开发测试团队：需要快速搭建/销毁 OpenClaw 环境的内部测试场景
• 个人开发者：追求一键部署、轻量迁移的独立用户
• 运维初学者：学习 Docker 容器化与 Bash 部署脚本编写的参考案例

不适合：需高合规等级（金融、医疗）的生产环境，或要求完整审计追踪的企业级部署。

常规风险

| 风险类别 | 等级 | 说明 |

|---------|------|------|

| 供应链攻击 | 中 | 外部 NVM 脚本若被篡改，将植入恶意 Node.js 运行时 |

| 配置泄露 | 中 | full 包传输过程中敏感信息暴露于网络 |

| 权限滥用 | 低 | Docker 组权限等效于 root，需严格控制脚本执行用户 |

| 依赖过时 | 低 | Node.js 22.x、NVM 版本需主动跟进安全更新 |