Cagebox Odoo

Cagebox奥多奥——克劳德代码沙盒

Docker沙盒，用于使用Odoo开发工具自主运行Claude代码。具有转发代理白名单、git推送保护和自动插件/MCP设置的网络隔离容器。

先决条件

• Docker with Compose（macOS/Windows上的Docker桌面，或Linux上的Docker引擎+Compose插件）

建筑

内部Docker网络上的三项服务（无直接互联网接入）：

• 克劳德沙盒 --Ubuntu 24.04，包含Python 3.12、Node.js 20、Claude Code和Odoo依赖项
• 数据库 --PostgreSQL 16
• 鱿鱼代理 --转发HTTP代理桥接内部和外部网络，将特定域列入白名单

安全模型

五层保护：

1. 容器隔离 --Claude在一个锁定的Ubuntu容器中运行，该容器具有受限的sudo（仅限软件包安装），并且除了已挂载的卷外，没有主机访问权限
2. 网络代理 -所有通过Squid的出站流量路线，只允许白名单域（PyPI，npm，Anthropic API，GitHub）。GitHub REST API(api.github.com)被阻止，阻止程序化写入操作。无法从沙箱直接访问互联网
3. Git包装器 — git push, git remote add/set-url/remove/rename, git send-email, git request-pull, git notes push，以及 git lfs push 在两个级别上被阻塞：一个shell包装器替换 /usr/bin/git 以及一个预推钩作为备用。两者都是root拥有且只读的——容器用户无法修改它们
4. 权限拒绝列表 --Claude Code的settings.json在应用程序级别阻止推送和远程修改命令到达git包装器之前
5. 凭证范围 --专为与只读GitHub令牌一起使用而设计。使用细粒度的只读令牌，无论容器内发生什么，GitHub都会拒绝写操作

已知限制： 带有可写令牌（例如带有 repo 一个足够确定的代理理论上可以在原始HTTPS级别实现git推送协议，绕过所有容器级别的保护。Squid无法检查HTTPS隧道内的路径，因此无法区分推送和获取。只读的GitHub令牌完全消除了这个向量——GitHub拒绝在服务器端写入。强烈建议使用细粒度只读令牌。

快速启动

git clone  && cd cagebox-odoo

cp .env.example .env
# Edit .env — see Authentication and GitHub Token below

cp docker-compose.override.example.yml docker-compose.override.yml
# Edit override — mount your Odoo source and addons directories

docker compose build
docker compose up -d

认证

在沙箱中验证Claude Code的两个选项：

选项A：OAuth登录（建议Pro/Max订阅者使用）

离开 ANTHROPIC_API_KEY 空白 .env 并启动容器。然后运行：

docker exec -it -u claude claude-sandbox claude login

遵循基于浏览器的OAuth流程。令牌存储在 ~/.claude/ 容器内部，通过 claude-config 卷——您只需要验证一次。

选项B:API密钥

集 ANTHROPIC_API_KEY 在 .env 钥匙来自 console.anthropic.com。这是按令牌付费，与任何Pro/Max订阅分开。

GitHub代币

要访问沙盒内的私有存储库，请设置 GITHUB_TOKEN 在 .env.

推荐：细粒度只读令牌

在以下位置创建细粒度令牌 :

• 将“存储库访问”设置为“仅选择存储库”，然后选择所需的存储库
• 在“存储库权限”下，设置 目录 到 只读
• 将其他内容保留在“禁止访问”

使用只读令牌，即使绕过了所有沙盒保护，也无法将代码推送到GitHub。这是最有力的保证。

替代方案：经典代币

在以下位置创建经典代币 随着 repo 范围。这将授予对所有存储库的读写访问权限。沙箱块通过git包装器、预推挂钩、权限拒绝列表和API阻止进行推送，但使用可写令牌，确定的代理理论上可以通过直接通过HTTPS实现git-pack协议来绕过所有容器级保护 github.com.Squid无法检查HTTPS隧道内的路径，因此无法在网络级别区分推送和取送。只读令牌通过让GitHub拒绝服务器端的写入，完全消除了这个向量。

入口点会自动重写所有GitHub URL（HTTPS、SSH、HTTPS等）， git@)要使用令牌身份验证，因此 git fetch, git pull，以及 git clone 透明地工作。

监控

• 连接到终端: docker exec -it -u claude claude-sandbox tmux attach -t main --连接到沙盒shell。通过运行以下命令启动Claude代码 claude --dangerously-skip-permissions.按 Ctrl-B D 在不终止会话的情况下分离。
• 日志: docker compose logs -f claude-sandbox

插件和MCP服务器

插件和MCP服务器在首次启动时通过单个安装脚本安装。复制 scripts/setup-tools.sh.example 到 scripts/setup-tools.sh，对其进行自定义，然后将其安装到 docker-compose.override.yml:

cp scripts/setup-tools.sh.example scripts/setup-tools.sh
chmod +x scripts/setup-tools.sh
# Edit setup-tools.sh — uncomment or add plugin and MCP commands, e.g.:
#   claude plugin marketplace add your-org/your-plugins
#   claude plugin install your-plugin@your-marketplace
#   claude mcp add my-server -- npx -y @some/mcp-server

然后取消注释 setup-tools.sh 安装在 docker-compose.override.yml插件和MCP服务器在重启过程中都会通过 claude-config 卷，仅在首次启动时安装。

定制

将域添加到代理白名单

编辑 config/squid.conf 并添加条目：

acl whitelist dstdomain example.com

然后重新启动代理： docker compose restart squid-proxy

安装项目目录

编辑 docker-compose.override.yml:

services:
  claude-sandbox:
    volumes:
      - ~/projects/odoo:/workspace/odoo
      - ~/projects/my-addons:/workspace/my-addons
      # - ~/projects/enterprise:/workspace/enterprise

自定义Odoo配置

挂载您自己的配置文件以跳过自动生成的配置文件：

volumes:
  - ./config/odoo.conf:/etc/odoo/odoo.conf

测试

启动沙盒后，从主机运行集成测试套件：

./scripts/test-sandbox.sh

这将验证容器健康状况、git重写、推送阻止、网络过滤、数据库连接、Odoo导入、挂载权限和插件/MCP安装。

构建

docker compose build
docker compose up -d

重建

docker compose build claude-sandbox
docker compose down
docker compose up -d

保留所有卷（数据库、pip缓存、claude配置、插件）。

核攻击与重建

docker compose build claude-sandbox
docker compose down -v
docker compose up -d

这 -v 标志会删除所有卷（pip缓存、claude配置、数据库）。使用 docker compose down 没有 -v 为了保护它们。