OpenClaw 的 Sandboxing 这一课核心其实就压在 defaults.sandbox 这一个节点上mode、scope、workspaceAccess 三个键写完看起来外部会话已经被关进 Docker 了。真正开始接模型的时候才发现沙箱管的是 Agent 能碰什么模型客户端那边还要单独填 Base URL 和 API Key两件事根本不在同一个配置段里。结论先摆在这里沙箱部分照原文配mode 用 non-main、scope 用 agent、workspaceAccess 用 ro模型通道换成 TaoToken去 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_end 注册并创建一把专属 Key填进工具的 Base URL 统一写 https://taotoken.net/api。这样外部会话照样在容器里跑 exec、照样按只读规则读 workspace模型请求则从一把 Key 出去不用再在几个厂商控制台之间来回切。下面按原文的节奏走先把三个开关讲清楚再讲模型客户端那一段怎么改。1. defaults.sandbox 三个键各自在防哪一类事故原文反复强调一句话工具策略只是规则沙箱才是隔离。这句话不是修辞它划的是责任边界。工具策略写在 Agent 的配置里本质上是「我告诉模型不要做这件事」沙箱写在 defaults.sandbox 里本质上是「就算模型想做它也做不到」。两者的失效方式完全不同前者靠模型听话后者靠容器不说话。1.1 mode、scope、workspaceAccess 拆开看mode决定哪些会话进沙箱。原文给的示例值是non-main含义是只有非主会话从外部渠道发起的那一类被丢进容器主会话仍然在本机环境里跑。这个默认值很符合实际使用习惯自己在终端里调试想要顺畅的文件访问外部来的请求则一律按不可信处理。scope决定沙箱的粒度。原文用的是agent也就是以 Agent 为单位复用同一个容器环境。粒度放在 agent 这一层好处是会话之间的临时文件、依赖安装不会互相污染又不会每次调用都重新起容器、付冷启动的时间成本。workspaceAccess决定容器里能不能改工作区。原文示例值是ro只读。读文件、看目录结构、解析日志都没问题写回、覆盖、删除会被拦在挂载层。这一条是最容易被忽略的因为它不会报错只会让写入静默失败或者被拒绝很多人以为是 Agent 犯傻其实是挂载权限在起作用。1.2 「工具策略是规则沙箱才是隔离」落到配置长什么样把这句话翻译成可执行的判断就是每次改动前问自己一句这条限制是靠模型自觉还是靠容器不给能力像是「不要执行 rm -rf」如果只写在 prompt 或者工具白名单里那它属于规则如果把 workspaceAccess 设成 ro、把宿主目录以只读方式挂进去那它属于隔离。原文的立场很明确能做成隔离的不要只写成规则。所以 defaults.sandbox 里的三个键建议不要为了图省事随意放宽。尤其是 scope改成更细的粒度可以换来更干净的会话环境代价只是容器数量变多workspaceAccess 则尽量保持 ro确有必要写回时再针对单个 Agent 放开而不是全局改成读写。这一段配好之后OpenClaw 的隔离逻辑就定下来了。但它跟模型请求完全是两条线沙箱决定了 Agent 能在容器里干什么模型客户端决定请求发到哪个地址、用哪把 Key。接下来这一段就是原文没有展开、但接 Key 时一定会撞上的部分。2. 沙箱配好之后模型客户端还得单独填一次地址很多人在 defaults.sandbox 上花了不少时间改完重启外部会话进去了容器也起来了结果第一句回复就卡住。原因通常不在沙箱而在模型客户端那段配置它需要自己的一份 provider、baseUrl、apiKey、model跟沙箱里的三个键没有继承关系。2.1 为什么沙箱配好了模型还是不通沙箱只是在进程外面套了一层限制它不负责把请求送出去。容器里的 Agent 仍然要按 OpenClaw 的模型配置去发 HTTP 请求如果 baseUrl 还指在原来的厂商地址、apiKey 还是旧的那把那么容器内外都一样会失败。这时候去看沙箱日志是看不出问题的因为请求压根就没发出去或者发出去被 401 挡回来了。另外一个常见现象是本机主会话正常外部会话不通。有人据此判断是沙箱坏了其实多半是两条环境用了不同的 Key 或者不同的配置来源。把模型客户端这一段收敛成统一入口之后这种「一半通一半不通」的情况会少很多。2.2 在 TaoToken 拿一把专属 Key准备材料只有三样一个模型通道的 Base URL、一把 API Key、一个模型 ID。打开 TaoToken 注册登录进控制台创建一把 API Key复制出来先放好后面配置文件里统一用YOUR_API_KEY这个占位符代替。Base URL 填https://taotoken.net/api注意末尾不要加/v1很多 404 都是因为多写了这一段路径。模型 ID 不要凭记忆写去 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_end 的模型广场看当时的列表按列表里能用的 ID 填。提示Key 只在创建时完整显示一次复制完先存进密码管理器。给 OpenClaw 用的这把 Key 建议单独创建不要和终端里调试用的混在一起方便后面按用途看用量。3. 把 OpenClaw 的模型设置指到 https://taotoken.net/api这一段是本文的重点也是跟原文差异最大的地方。原文讲沙箱时不涉及模型通道仿写时要把这一步补上沙箱配置保持原样模型配置换成统一入口。3.1 配置文件里要改的四个字段OpenClaw 的配置文件通常分成 defaults 和具体 Agent 两层模型设置一般落在 defaults 里或者落在 Agent 自己的配置块里。要改的就是四个字段字段填什么说明provider兼容 OpenAI 格式的通道标识按你所装版本支持的写法填不要自造baseUrlhttps://taotoken.net/api末尾不加/v1不要带 UTM 参数apiKeyYOUR_API_KEY从 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_end 创建model模型广场当时的 ID不要写带日期的猜测值改的时候有个细节baseUrl 和官网地址不是一回事。官网是给人点的用来注册、建 Key、看模型列表和用量填进工具里的永远是接口地址https://taotoken.net/api。把带查询参数的那串贴进 baseUrl请求会直接 404而且报错信息一般不会告诉你是参数的问题。3.2 沙箱三键和模型四键放一起的完整片段下面这份配置把两部分合在一起可以直接照着改自己本地的文件。字段名以你本地版本为准值部分照抄即可。{ defaults: { sandbox: { mode: non-main, scope: agent, workspaceAccess: ro }, model: { provider: openai-compatible, baseUrl: https://taotoken.net/api, apiKey: YOUR_API_KEY, model: YOUR_MODEL_ID } } }YOUR_MODEL_ID替换成模型广场里当时存在的 ID不要自己拼日期后缀。改完之后重启 OpenClaw 服务让配置重新加载如果版本支持热加载也建议完整重启一次避免沙箱容器复用了旧的挂载参数。3.3 用环境变量兜一层避免 Key 进版本库如果不想把 Key 写死在配置文件里可以把它抽到环境变量再在配置里引用。变量名各版本不完全一样按自己装的版本给的写法来。这样做的好处很实际配置可以进 gitKey 不会跟着跑进去。export OPENCLAW_MODEL_BASE_URLhttps://taotoken.net/api export OPENCLAW_MODEL_API_KEYYOUR_API_KEY注意环境变量的作用域。如果 OpenClaw 以后台服务方式启动要在服务自己的环境里注入而不是只在当前这个 shell 里 export否则重启之后配置又会读回文件里的旧值。4. 起一个外部会话验证 Docker 隔离和模型请求配置改完要验证的是两件事沙箱有没有真的把会话关进容器模型请求有没有真的从新通道出去。这两件事要分开验混在一起看日志很容易判断错。4.1 先确认容器确实起来了从外部渠道发一条触发消息然后到宿主机上看容器列表。按原文的 scopeagent 设置同一个 Agent 的会话通常会复用同一个容器环境所以你不会看到每次调用都多出一个新容器。第一次触发时出现后续复用这是正常现象。如果容器一直不出现先回头确认 mode 的值。non-main只对非主会话生效你在本机终端里敲的那次调用属于主会话本来就不该进容器。很多人在这里误判成沙箱失效其实是触发入口选错了。4.2 在 ro 之下试 exec 和写 workspace容器起来之后让 Agent 在会话里做两件事跑一条只读命令看目录再试着往 workspace 写一个文件。第一条应该正常返回第二条应该被拒绝或者在容器内静默失败宿主机上不会出现这个文件。这两个结果组合起来才说明 defaults.sandbox 是真的在起作用而不是仅仅写在配置里。如果第二条写成功了检查 workspaceAccess 是不是被某个 Agent 级别的配置覆盖回读写如果第一条也失败那问题可能在挂载路径而不是权限上。模型侧的验证更简单在会话里问一个需要模型回答的问题能正常返回就说明 baseUrl、apiKey、model 三者至少是自洽的。想看这一次请求有没有被记上账去 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_end 的控制台看调用记录比翻日志快。5. 排障模型报错和沙箱现象分开查排障最容易走弯路的地方是把模型错误当成沙箱错误查。区分方法很简单看请求有没有出容器。模型客户端报的错通常带 HTTP 状态码沙箱的问题通常表现为命令无响应、路径不存在、写入被吞。5.1 模型侧常见三种报错401Key 不对或者没读到。先确认配置文件里确实是YOUR_API_KEY被替换成了真实值再确认环境变量没有把文件里的值覆盖掉。后台服务方式启动时环境变量注入失败是很常见的原因。404baseUrl 写错了。检查有没有在https://taotoken.net/api后面多写/v1或者把官网地址连查询参数一起贴了进来。这个错误的特征是路径层面的跟 Key 无关。模型名不存在去模型广场对一下当时的列表把YOUR_MODEL_ID换成列表里真实存在的值。别用记忆里的名字也不要自己加日期后缀。5.2 沙箱侧值得看的三个现象第一个现象是外部会话里能正常对话但一执行命令就卡住。这通常是容器还没起来或者命令本身依赖的目录没有按 ro 挂进去。第二个现象是写文件没有任何报错但宿主机上看不到。这其实是 ro 的正常表现写入被挂在只读层不会污染宿主目录。第三个现象是不同外部会话之间互相看得到临时文件这时候该检查 scope 是不是被改成了更粗的粒度。排障时把日志分成两路看模型客户端的日志找 HTTP 状态码容器或运行时的日志找挂载和 exec 结果两边不要互相解释。这样定位会快很多。6. 跑通之后回控制台对一下这次调用配置保存、外部会话跑通、容器按 non-main 起来、workspace 写入被 ro 拦住四件事都对上之后建议顺手做一次对账打开 TaoToken 模型对话用同一把 Key 发一条测试消息确认模型 ID 在当前列表里是可用的再回 控制台 API Keys 看这次沙箱会话的请求有没有被记上顺便确认给 OpenClaw 用的这把 Key 和终端调试用的那把是分开的。如果打算长期挂着外部会话跑Coding Plan 里能看清套餐够不够用省得中途被额度拦住。往后要加新的 Agent 或者新的外部渠道沙箱那三个键照抄模型那段只改模型 ID 就够了Key 和 Base URL 不用再动。