2026 年在 Linux VPS 上部署 OpenClaw Gateway：GitHub Actions CI/CD 對上手動 Docker——決策矩陣、可復現步驟與 FAQ

在小型 Linux VPS 上跑 OpenClaw Gateway，多半不算難；真正的岔路多半出現在升級節奏、TLS 與通道憑證／權杖開始交織之後。2026 年這條選題往往不是「要不要 Docker」，而是你要可重複的自動化（GitHub Actions 推送已標記映像與設定），還是手可及的掌控（SSH、Compose、手動回滾）。兩條路都能落地，只是優化的「後悔點」不同。若你要把 HTTPS、向導收斂與分層回滾寫進 Runbook，建議仍以生產基線為準：請參考 2026 OpenClaw Gateway 生產化：`openclaw onboard` 向導要點、`openclaw doctor`／`openclaw fix` 排障、Nginx／Caddy HTTPS 反代與升級回滾（Linux 雲主機可復現步驟與 FAQ）。此外，若你仍在評估「curl 直裝」與容器化的差異，亦可對照 2026 OpenClaw Linux 雲主機部署實操：curl 安裝 vs Docker 對比、環境校驗與常見報錯 FAQ。

2026 年實務上還多了一層背景：供應鏈與稽核語境更常問「誰在何時把哪個 digest 推上線」，而不是只看「現在能不能服務」。因此無論走哪條路，都建議把映像鎖定、設定與機密分離、可驗證的健康檢查當成預設值；自動化只是把這三件事重複執行得更便宜，並不是在思想上替你省略。

決策矩陣：何時 Actions 加分、何時 SSH 加分

把下表當成檢查清單——「較適合」不代表硬性規定，而是當該風險在事故裡浮現時，較不容易後悔。

可復現步驟（GitHub Actions → Linux VPS）

以下為骨架——請替換 registry、路徑與健康檢查 URL。目標是不可變產物加上明確版本鎖。

1. 建置——workflow 建置並推送映像（標籤＋ digest）到你的 registry；正式環境避免匿名依賴 latest。
2. 機密——將 SSH_PRIVATE_KEY、主機指紋與部署權杖放在 Actions 機密；限制誰能核准 deploy job。
3. 遠端套用——job 以 SSH 連線 VPS，拉取剛建置的 digest，寫入不入版控的小型 env，再執行 docker compose up -d（或你的編排器）。
4. 健康閘道——經由 loopback 或反代對 Gateway 健康路由做 curl；TLS 或上游 socket 未就緒則讓 job 失敗。
5. 拓撲對齊——若 Controller 放在輕量 VPS、重活交給雲端 Agent，可比照 2026年Jenkins混合拓撲：Controller駐輕量VPS與雲Mac Agent的JNLP回連及企業資源池落地清單 的分層思路，避免把「閘道可用性」與「編譯排隊」綁在同一個故障域。

# VPS 上 SSH 登入後：
export GATEWAY_IMAGE_DIGEST="sha256:…"
docker compose pull
docker compose up -d
curl -fsS http://127.0.0.1:<health-port>/health

可復現步驟（VPS 上手動 Docker）

手動佈署用自動化換可見度——適合你仍在對 TLS、systemd user unit、volume 掛載「摸地形」的階段。

1. 主機基線——防火牆按需開 22／443；安裝 Docker 與 Compose 外掛；建立非 root 部署帳號。
2. 鎖定映像——拉取明確 digest，並在本機 versions.txt（與 compose 並列）留下紀錄。
3. 持久路徑——依上游文件掛載權杖／工作階段目錄；升級前快照 volume。
4. 反向代理——用 nginx 或 Caddy 終止 TLS；除非刻意暴露，否則 Gateway 留在 loopback。
5. 煙霧測試——每次版本抬升後跑 openclaw doctor（或等效指令）；若使用 systemd，日誌請對齊 journalctl --user。

FAQ

CI/CD 可以取代備份嗎？

不行。自動化只是重播產物，無法從已損壞的狀態目錄「長回來」。請為掛載資料安排快照或 rsync 類備份。

哪條路比較省錢？

GitHub Actions 會吃到分鐘數與構件儲存；手動則在事故時吃工程師時間。機群很小、部署頻率低於每週時，不少人會先用手動。

可以混用——Actions 建置、手動 promote？

可以。由 CI 推送映像，維運 review 後再以 SSH 手動切 digest；在 registry 仍有清晰軌跡，又不必一次到位遠端 compose 全自動化。