核心用法
Devboxes 是 OpenClaw 的容器化开发沙箱，每次会话自动生成一个隔离环境，内置 VSCode Web、noVNC 桌面、Chromium CDP 浏览器及最多 5 个应用端口。用户通过主代理分配递增 ID，子代理执行 devbox-init {id} 完成路由配置（Traefik 或 Cloudflare Tunnel），随后即可通过 https://vscode-{id}.domain 等 URL 访问服务。
显著优点
- 即开即用：两阶段启动（核心服务自动拉起 + 初始化脚本配置路由），无需手动配环境
- 多模式路由：支持 Traefik（本地反向代理）或 Cloudflare Tunnel（公网穿透），适配内外网场景
- 完整工具链：内置浏览器 CDP、GitHub Token 注入、项目初始化脚本（
.openclaw/setup.sh） - 会话隔离：
scope: session模式确保每个任务独立容器，结束后自动清理
潜在缺点与局限
- 初始化门槛高：必须完成 6 步 Onboarding（Docker 权限验证、路由配置、计数器文件、OpenClaw 配置），任一环节失败即无法使用
- 主机路径限制：Traefik 模式要求挂载非系统目录（禁止 /etc、/root 等），且需
chmod 777解决权限问题 - 状态不可重置：Devbox ID 计数器只增不减，无法回收或复用旧 ID
- 单域依赖：所有子域名需通配符解析到同一服务器，不支持多域分发
适合人群
- 需要为每个用户/任务快速分配独立开发环境的平台团队
- 希望标准化云端 IDE（VSCode Web）+ 桌面环境（VNC）的技术管理者
- 已具备 Docker、Traefik 或 Cloudflare Tunnel 运维能力的 DevOps/SRE
常规风险
- 权限暴露：主代理需 Docker socket 访问及文件系统写权限，误操作可能影响宿主机
- Secrets 管理：GitHub Token、CF API Token 以明文注入容器环境变量，存在泄露面
- 网络暴露：Cloudflare Tunnel 自动注册公网 DNS，若未配合访问控制，内部服务直接对外开放
- 配置漂移：
openclaw.json手动编辑易出错，重启 gateway 失败会导致配置不生效