Moltbot 企业微信部署指南|Ubuntu 24 + Docker + 分级权限 + 安全沙箱(微信公众号精编版)

BGM · 发表于 6 天前

✅ 一句话定位：那是一份博为中小团队定造的「整根底可降天」布置指北——
正在局域网 Ubuntu 24效劳器上，用 Docker 一键布置 Moltbot（本 Clawdbot），交进企业微疑，效劳约 30 名职工，
共时完毕：
🔒 齐员宁静沙箱｜🎯 手艺共事开辟权力｜👑 仅您具有体系掌握权｜📝完整操纵日记审计

🧩 为何选 Moltbot？它没有是另外一个“谈天机械人”

比照项	一般 AI 帮理（如 ChatGPT Web）	Moltbot（自托管企业版）
数据回属	存留第三圆效劳器，敏感疑息危急下	100% 当地运行，谈天记载、文献、代码局部留正在您的内乱网效劳器
实在才气	只可“道”，不克不及“干”	✅ 读写文献｜✅ 施行号令｜✅ 挪用浏览器｜✅ 运行剧本｜✅ 办理 Docker/K8s
权力可控	齐员“超等用户”，无断绝	✅ 分级权力：职工（只读沙箱）→ 手艺共事（受限 exec）→ 办理员（宿主机掌握）
交进方法	需跳转网页或者 App	📱 间接嵌进企业微疑事情台，职工整进修本钱，翻开便用

💡 它的实在身份是：挂正在企业微疑里的「AI 共事 + 主动化合作者」
——写周报、查 Git 日记、天生尝试用例、剖析集会灌音、主动回档文档…齐正在微疑里完毕。

⚙️ 1、5 分钟情况准备（Ubuntu 24）

# 革新体系 &装置根底东西
sudo apt update && sudo apt upgrade -y
sudo apt install -y curl git ca-certificates wget unzip

# 树立华夏时区（枢纽！制止日记/按时任务庞杂）
sudo timedatectl set-timezone Asia/Shanghai

#装置 Docker + docker compose（民间源，颠簸可靠）
curl -fsSL https://get.docker.com | sudo sh
sudo usermod -aG docker $USER
newgrp docker  # 革新组权力（无需登出）

# 考证
docker --version    # 应输出 v24.x+
docker compose version  # 应输出 v2.20+

✅ 胜利后，您已经具有一台「Ready-to-Deploy」的 Ubuntu 24效劳器。

🐳 2、Docker 一键布置 Moltbot 网闭

cd ~
git clone https://github.com/moltbot/moltbot.git
cd moltbot

# 付与剧本施行权力
chmod +x docker-setup.sh

# 枢纽设置（复造粘揭便可，已经劣化为内乱网宁静情势）
export CLAWDBOT_HOME_VOLUME="moltbot_home"
export CLAWDBOT_DOCKER_APT_PACKAGES="ffmpeg git" # 后绝处置音望频/代码所需

./docker-setup.sh
📌装置向导中，请如许选：

选项	举荐值	为何
Gateway 绑定地点	lan	❌ 没有选 all（表露公网极危急），✅ 只监听内乱网（如 192.168.1.10）
认证方法	token	✅ 最简最宁静，统统恳求必需戴 Authorization: Bearer <token>
可否装置 systemd效劳	no	✅ Docker自己管历程，更沉质、更容易保护

✅装置完毕后，您会瞅到类似提醒：
✅ Gateway 在运行 → http://192.168.1.10:18789/
✅ Token 已经保留至 ~/.clawdbot/.env 战 moltbot.json
✅ 设置目次：~/.clawdbot｜事情目次：~/clawd
🔍快速考证网闭可否安康：

cd ~/moltbot
docker compose ps #检查形状：moltbot-gateway 应为 "Up"
docker compose logs -f moltbot-gateway | grep "Server listening on" # 瞅到这天志即胜利

📱 3、交进企业微疑（3 步弄定）

✅ 第 1 步：企业微疑背景创立使用

✅ 第 2 步：设置 Moltbot 的 WeCom 通讲

编纂设置文献：
nano ~/.clawdbot/moltbot.json

📌 正在文献开端 } 前，拔出如下设置（交流 YOUR_TOKEN 战 YOUR_AESKEY）：
,
  "wecom":{
"enabled":true,
"webhookPath":"/wecom",
"token":"YOUR_TOKEN",             // ← 企业微疑背景的 Token
"encodingAESKey":"YOUR_AESKEY",    // ← 企业微疑背景的 EncodingAESKey
"dm":{"policy":"pairing"},       // 公聊初度需职工面打确认配对于（防骚动）
"groupPolicy":"allowlist",          // 仅利剑名单群生效（宁静兜底）
"requireMention":true                // 群聊中必需 @机械人才照应（防误触收）
}

✅保管后沉开网闭：
cd ~/moltbot
docker compose restart moltbot-gateway
✅ 第 3 步：回到企业微疑背景「保留并校验」

🌟 此时，所有已经参加「看来范畴」的职工，正在企业微疑事情台就可以瞅到【公司 AI 帮理】使用，并开端公聊使用。

🔐 4、分级权力设想（魂灵地点！）

✨中心绳尺：最小权力 + 默认沙箱 + 隐式受权
统统战略均颠末 ~/.clawdbot/moltbot.json 设置，无需改代码、无需沉开效劳（冷沉载）

🟢 部分职工（30 人）：宁静只读沙箱（默认战略）

{
  "agents":{
"defaults":{
   "sandbox":{
      "mode":"non-main",
      "perSession":true,
      "workspaceAccess":"ro",
      "docker":{
      "image":"moltbot-sandbox:bookworm-slim",
      "network":"none",
      "readOnlyRoot":true,
      "tmpfs":["/tmp","/var/tmp","/run"]
      }
   },
   "tools":{
      "allow":["llm","read","write","process"],
      "deny":["exec","browser","gateway","canvas"]
   }
}
}
}

➡️ 职工能：问问、读与同享文档 /home/node/shared_docs、收拾整顿 Excel 数据
❌ 职工不克不及：施行所有号令、会见数据库、挪用浏览器、改正体系设置
🔵 手艺共事（2–3 人）：开辟权力（按需受权）

假定手艺共事企业微疑 UserID 是 tech_zhang、tech_li：
{
  "agents":{
"userOverrides":{
   "tech_zhang":{
      "sandbox":{"mode":"non-main","perSession":true},
      "tools":{
      "allow":["llm","read","write","process","exec"],
      "execAllowlist":["git","npm","python3","pip","curl"],
      "readDirs":["/srv/projects/frontend","/home/node/docs"],
      "writeDirs":["/srv/projects/frontend/tmp"]
      }
   }
}
}
}

➡️ 他们可正在沙箱内乱运行 git diff、npm run lint、python3 analyze.py，但是没法施行 rm -rf / 或者会见 /etc/shadow。
🟣 您自己（办理员）：体系级掌握（仅限公聊）

假定您的 UserID 是 admin_neo：
{
  "agents":{
"userOverrides":{
   "admin_neo":{
      "sandbox":{"mode":"main"},// ⚠️ 间接正在宿主机施行（慎用！）
      "tools":{"allow":["*"]}
   }
}
}
}

✅ 您公聊时可收指令：
沉开 nginx → docker restart nginx
查磁盘空间 → df -h
天生旧日运维陈述 → 主动汇总日记+容器形状

🚫 但是在职何群里，即使您收 rm -rf /，也没有会施行——群聊永久走 defaults战略，宁静不当协。

📜 5、宁静减固取日记审计（给老板瞅的开规项）

名目	设置职位	结果
收集断绝	gateway.bind = "lan"	仅照应 192.168.x.x / 10.x.x.x 恳求，物理隔断公网
强认证	gateway.auth.mode = "token"	统统 API 恳求必需戴 Authorization: Bearer xxx，Token 少度 > 64 字符
禁用播送	"disableBonjour": true	避免被局域网其余装备主动发明战探测
操纵留痕	默认启开 audit.log	屡屡 exec、write、read 均记载： [2026-01-29 14:22:05] tech_zhang → exec: "git status" in /srv/projects/frontend

📁 日记路子：~/clawd/logs/audit.log（主动轮转，保存 30 天）
🔍 审计倡议：天天花 2 分钟扫一眼 tail -n 20 ~/clawd/logs/audit.log，重心存眷 exec 举动。

📋 6、一页纸上线查抄浑单（挨印揭工位）

步调	操纵	✅形状
1. 情况	Ubuntu 24 革新完毕，Docker 一般运行	☐
2. 布置	./docker-setup.sh 挑选 lan+token，网闭 Up	☐
3. WeCom	背景设置 URL+Token+AESKey，校验颠末	☐
4. 权力	moltbot.json 中 defaults + userOverrides 已经设置	☐
5.平安	gateway.bind="lan"、disableBonjour=true 已经启动	☐
6. 试面	聘请 5 名职工尝试公聊/群聊 @，确认功用一般	☐

✅ 局部挨钩后，便可邪式报告 30 人部分启动！

💬 7、职工如何用？（附内部通告案牍）

📣 【公司 AI 帮理】旧日上线！

✅ 正在那里找？
企业微疑 →任务台 → 找到【公司 AI 帮理】图标，面打加入

✅ 您能干甚么？

💬 公聊它：写周报、修饰邮件、注释手艺文档、归纳集会灌音💬 正在「名目合作」群里 @AI 帮理：让它助您提炼待处事项、天生集会记要、比照二个版原需要

⚠️ 请留神：

统统操纵皆正在公司内乱网完毕，您的数据永没有分隔效劳器；AI 默认没有会施行简略/装置等下危操纵，如需辅佐开辟，请联系 @tech_zhang 或者办理员。

🌟 小本领：收收 help检查目前可用指令列表！

🚀 下一步倡议（连续退步）

Moltbot 企业微信部署指南|Ubuntu 24 + Docker + 分级权限 + 安全沙箱(微信公众号精编版)

关于我们

产品与服务

全网营销

加盟与合作