1. 消失的爱马仕Hermes 在 Docker 里为什么总丢配置如果你正在用 OpenClaw 薅元宝 Bot 的羊毛同时拿 Hermes 当飞书侧的对话网关那你大概率遇到过这个场景某天中午飞书机器人突然不回话了登上去一看hermes-gateway进程没了重新pip install装一遍、恢复配置、重启 systemd能跑结果过几天容器一重建配对白名单丢了、API Key 丢了、set_session_vars() got an unexpected keyword argument profile又冒出来像打地鼠一样按下去一个又弹起来一个。这个问题的本质不是Hermes 被谁删了而是Hermes 从来就不在 Docker 镜像里。OpenClaw 是镜像构建时打进去的躺在 overlay 的只读基础层容器重建只要镜像不变它就在Hermes 是你后来pip install装进系统目录的写进的是 overlay 的可写层 upperdir容器一重建 upperdir 被重置Hermes 连同它的配置、记忆、技能目录一起消失。判断一个东西会不会丢只问一句它在镜像层还是可写层镜像层重建不丢可写层重建就没。这篇是薅元宝Bot羊毛来养马系列的第二篇聚焦 Docker 持久化与飞书告警恢复。我会给出docker-compose挂载卷与config.toml骨架、用 TaoToken 统一 Key 的settings.json配置片段并演示重启容器后验证 Hermes 状态与飞书告警是否恢复的可复制步骤。适合已经在跑 OpenClaw Hermes、被容器重建坑过一次、想一次性把持久化和告警做扎实的人。2. 前置用 TaoToken 统一 Key 管住 Hermes 的凭证Hermes 丢配置里最烦的一类就是 API Key 丢。备份没恢复全、环境变量没注入、settings.json被 upperdir 重置都会让 Hermes 起来后报 401 无效凭证。与其在每个容器里散着放 Key不如把模型调用统一走 TaoToken一个 Key 管所有模型入口容器重建时只要挂载卷里那份settings.json还在凭证就不会丢。TaoToken 在这里扮演的是统一模型网关的角色Hermes 需要调模型时不再直连各家、不再在多个地方塞不同厂商的 Key而是统一指向 TaoToken 的 API 地址用同一个 Key 完成对话、编码、Agent 类请求。官网入口在 https://taotoken.net/?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content API 基址是 https://taotoken.net/api 这个不加 UTM。你需要先去控制台建 Key再把它写进挂载卷里的配置文件而不是写进容器可写层。具体操作路径打开控制台 https://taotoken.net/console?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 在 API Keys 页面 https://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 新建一个 Key复制出来。这个 Key 后面会写进settings.json的api_key字段而settings.json放在宿主机挂载进容器的持久卷目录里容器重建不影响它。如果你还想先验证模型通不通可以直接在模型对话页 https://taotoken.net/chat?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 发一条消息确认 Key 有效再去配 Hermes省得在容器里反复重启排查。注意Key 只写进挂载卷里的配置文件不要写进 Dockerfile也不要写进 entrypoint 脚本。写进镜像层等于把凭证固化进只读层重建镜像就泄露一次写进可写层等于重建就丢。挂载卷是唯一正确的位置。3. 可复制配置docker-compose 挂载卷 config.toml settings.json先解决Hermes 装回来的问题。因为镜像托管在云上构建系统、你没有仓库写权限改 Dockerfile 不现实所以用启动钩子容器 entrypoint 里加一段检测hermes命令不存在就自动pip install存在就跳过。正常重启毫秒级跳过容器重建后首次启动多花 3-5 秒装好。docker-compose.yml的关键是 volumes 段把配置、记忆、技能、对话历史四个目录都挂到宿主机持久卷services: openclaw-hermes: image: your-registry/openclaw:latest container_name: openclaw-hermes restart: unless-stopped entrypoint: [/bin/bash, /opt/hooks/entrypoint.sh] environment: - TZAsia/Shanghai - HERMES_HOME/data/hermes volumes: - ./hooks/entrypoint.sh:/opt/hooks/entrypoint.sh:ro - ./data/hermes/config:/data/hermes/config - ./data/hermes/memory:/data/hermes/memory - ./data/hermes/skills:/data/hermes/skills - ./data/hermes/history:/data/hermes/history ports: - 8080:8080启动钩子hooks/entrypoint.sh负责检测与重装#!/bin/bash set -e if ! command -v hermes /dev/null 21; then echo [hook] hermes not found, installing... pip install --no-cache-dir hermes-agent lark-oapi websockets croniter else echo [hook] hermes present, skip install fi # 从持久卷恢复配置到运行目录 if [ -d /data/hermes/config ]; then mkdir -p $HERMES_HOME/config cp -rn /data/hermes/config/. $HERMES_HOME/config/ 2/dev/null || true fi exec $config.toml骨架放在./data/hermes/config/config.toml飞书凭证和模型入口都从这里读[feishu] app_id cli_xxxxxxxxxxxx app_secret xxxxxxxxxxxxxxxx verification_token xxxxxxxxxxxxxxxx encrypt_key xxxxxxxxxxxxxxxx [gateway] host 0.0.0.0 port 8080 pairing_required true [model] provider taotoken base_url https://taotoken.net/api api_key sk-你的TaoTokenKey default_model claude-sonnet timeout 60 [alert] enabled true webhook https://open.feishu.cn/open-apis/bot/v2/hook/xxxxxxxx on_startup true on_error truesettings.json是 Hermes 读模型凭证的地方同样放挂载卷和config.toml的[model]段保持一致{ api_base: https://taotoken.net/api, api_key: sk-你的TaoTokenKey, default_model: claude-sonnet, session: { profile: default, persist: true, store_path: /data/hermes/memory/sessions }, pairing: { whitelist_path: /data/hermes/config/pairing.json, auto_reload: true } }这里session.profile字段就是之前报set_session_vars() got an unexpected keyword argument profile的根源——旧版 gateway 包不认这个参数。解决办法是启动钩子里装最新版hermes-agent并在settings.json里保留profile字段让新版正常读取如果暂时不能升级就把profile去掉用session.name替代。4. 验证重启容器后 Hermes 状态与飞书告警是否恢复配置写完跑一遍完整验证。先起容器docker compose up -d docker compose logs -f openclaw-hermes日志里应该看到[hook] hermes present, skip install首次是 installing然后hermes-gateway启动、WebSocket 连上飞书。接着做一次模拟容器重建——这是关键验证不是简单restart而是down再up让可写层真正重置docker compose down docker compose up -d docker compose exec openclaw-hermes hermes statushermes status正常输出应该包含 gateway 运行中、飞书连接正常、配对白名单条数、当前模型 provider 为 taotoken。如果配对白名单条数不为 0说明pairing.json从挂载卷恢复成功不会再出现Hi~ I dont recognize you yet!那种重新配对的情况。再验证模型凭证没丢直接在容器里发一条测试请求docker compose exec openclaw-hermes curl -s https://taotoken.net/api/v1/chat/completions \ -H Authorization: Bearer sk-你的TaoTokenKey \ -H Content-Type: application/json \ -d {model:claude-sonnet,messages:[{role:user,content:ping}]}返回里有正常choices就说明 Key 有效、网络通、模型入口正常。最后验证飞书告警在config.toml里on_startup true的前提下容器每次启动都应该往飞书 webhook 推一条上线通知。去飞书群里看有没有收到没收到就查 webhook 地址和alert.enabled。实测下来downup之后 Hermes 状态、配对白名单、模型 Key、飞书告警四项都能恢复才算真正把持久化做扎实。只做restart不算数因为restart不重置 upperdir问题会被掩盖。5. 本篇常见错排查报错一hermes: command not found但钩子明明装了。多半是 entrypoint 没生效检查docker-compose.yml里entrypoint路径和挂载的entrypoint.sh是否有可执行权限。宿主机上chmod x hooks/entrypoint.sh容器里挂载用:ro只读即可。报错二set_session_vars() got an unexpected keyword argument profile。旧版 gateway 包和新版settings.json不匹配。要么在钩子里强制装最新版hermes-agent要么把settings.json里的session.profile删掉改用session.name。两者选一别混用。报错三401 无效凭证但 Key 明明是对的。检查settings.json和config.toml的[model]段是否都指向https://taotoken.net/api以及 Key 有没有多余空格。挂载卷里的文件如果是从备份恢复的旧版本可能还留着旧厂商的 base_url改过来即可。报错四飞书告警不推。先确认alert.enabled true且 webhook 地址完整再确认容器能出网访问open.feishu.cn最后看on_startup是否被钩子里的exec $提前覆盖。告警逻辑要在 gateway 启动之后触发不能放在 entrypoint 最前面。报错五配对白名单每次重建都空。说明pairing.json没落在挂载卷里。检查settings.json的pairing.whitelist_path是否指向/data/hermes/config/pairing.json以及docker-compose.yml是否把./data/hermes/config挂到了/data/hermes/config。路径对不上写进去的就在可写层重建就没。6. 把 Key 和持久化一次做对回到最初那个问题Hermes 为什么总丢因为它装在可写层而可写层每次重建都被重置。解法就两条——启动钩子负责把 Hermes 装回来挂载卷负责把配置、记忆、技能、对话历史留下来。凭证这块用 TaoToken 统一 Key把settings.json和config.toml都放进挂载卷容器重建时 Key 跟着卷一起恢复不会再出现 401。如果你还在排 Hermes 接入和 Key 配置的坑先去 API Keys 页面 https://taotoken.net/api-keys?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 建好 Key再对照接入文档 https://taotoken.net/doc?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 核对 base_url 和参数格式。如果你是要长期跑编码和 Agent 类任务Coding Plan https://taotoken.net/coding-plan?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 更适合把额度固定下来省得每次容器重建还要重新算用量。Claude Code 相关的接入配置可以参考 https://taotoken.net/claudecode-anthropic?utm_sourcetaotoken_aicg_blog_endutm_mediumcsdnutm_campaignrewriteutm_content 把 Anthropic 风格的调用也统一到同一个 Key 下。最后留一个我踩过的坑验证持久化一定要用docker compose down再up不要用restart。restart不重置 upperdir看起来一切正常等你哪天真的重建容器问题才爆出来。把downup当成标准验证动作跑通了再上生产。