claude-obsidian 归档安全机制全解一份文件从收件箱到知识库要闯过哪些关卡【免费下载链接】claude-obsidianSelf-organizing AI second brain for Obsidian Claude Code. Drop any source and Claude reads, links, and files it into one connected knowledge graph of plain Markdown you own. AI note-taking, personal knowledge management (PKM), and an open-source Notion alternative. Based on Karpathys LLM Wiki pattern.项目地址: https://gitcode.com/GitHub_Trending/cl/claude-obsidianclaude-obsidian 是一个把任意来源资料归档进 Obsidian 知识库、自动读取并链接成 Markdown 知识图谱的开源 AI 第二大脑。因为归档入口直接接收外部文件它围绕 capture 流水线搭了一整套路径穿越防护与不可变校验。本文按攻击者视角走读 capture.py、transaction.py 与 paths.py看一个恶意构造的文件在每一道关卡会被怎样拦下。先给一点背景文件从inbox/收件箱进入经内容寻址复制进.raw/captured/再被加工成带出处的笔记最终在图谱里互相关联。归档完成后的笔记长这样下面假设一个场景有人把一个文件名里藏着../../的文档、外加几个指向库外的符号链接一起丢进收件箱。我们跟着这份货物走一遍。第一关词法检查../../连门都进不了风险路径穿越。一个写作../../etc/hostname的路径若被直接拼接就会写到知识库之外。怎么挡所有归档路径在接触磁盘前先过纯词法检查。capture.py 的_validate_relative_directory拒掉反斜杠、绝对路径、./..段以及任何没规范化的写法比如a/../b配置越界统一抛INVALID_CONFIG_PATH。事务层的_normalize_vault_path更严格NUL、换行、回车、反斜杠任何一个字符都触发INVALID_WRITE_PATH未规范化路径是NONCANONICAL_WRITE_PATH非 NFC Unicode 是NONCANONICAL_UNICODE_PATH超过 240 字节的名称是WRITE_PATH_TOO_LONG。你能看到什么命令直接失败错误信息里带着具体路径和错误码没有任何文件被创建。第二关符号链接逐段拒收风险词法合法的a/b.md里a可能是指向系统其他位置的符号链接——词法检查对这种情况完全失明。这是本地文件安全里最经典的绕过手法。怎么挡paths.py 的assert_within会把符号链接解析掉确认最终落点仍在库内否则抛PATH_OUTSIDE_VAULT。真正的重活由_allowed_source_path完成它对路径逐段检查覆盖四个位置inbox 或.raw根目录本身是链接 →SOURCE_ROOT_SYMLINKinbox 内任意中间目录被换成了别名 →SOURCE_SYMLINK穿过别名目录进收件箱的写法另触发SOURCE_OUTSIDE_INBOX.raw/captured内容寻址存储被劫持 →RAW_STORE_SYMLINK事务写入路径的每一段 →_safe_vault_path逐段lstat命中符号链接或 Windows junction 挂载点即抛SYMLINK_WRITE_PATH值得注意的是is_name_surrogate连 Windows 上以普通目录示人的 junction 都算作别名不会漏到S_ISLNK检测的盲区里。你能看到什么归档中止报symlink in inbox: 路径一类带具体位置的错误整个批次不做部分提交。第三关文件名卫生与跨平台别名风险恶意文件名常藏在细节里——零宽字符、换行、CON.md这类 Windows 保留名或者利用大小写不敏感文件系统的别名混淆权限判断。怎么挡_validate_filename一次性拦下控制/格式字符、首尾空格、以点或空格结尾的名字、CON/COM1/NUL等保留名和非 NFC 名称统一抛UNSAFE_FILENAME。更隐蔽的一招是大小写/重音别名在 Windows 上Note.md和NOTE.MD是同一个文件。_assert_no_existing_portable_alias会枚举目标目录的兄弟项把每个名字做 NFC casefold 归一后比对发现撞车的别名就抛CASEFOLD_PATH_ALIAS从根上消除歧义。你能看到什么校验期直接拒绝错误信息会指出冲突的那个兄弟文件名。第四关预算硬限超大文件落不了盘风险单个 4 GB 的文件、几万个 1 字节的小文件、或者一份巨型 JSON 队列文档都能把磁盘和内存榨干。怎么挡批次在进入任何 IO 之前先过CaptureBudget——单批最多 100 个文件COUNT_BUDGET_EXCEEDED单文件上限 64 MBFILE_BUDGET_EXCEEDED整批上限 256 MBTOTAL_BUDGET_EXCEEDED。捕获队列文档另有限额8 MB、4096 条。这些是构造时就固定的硬边界不是可协商的建议值。你能看到什么超限即失败错误信息里直接给出超限的具体数值磁盘上一个字节都不会多写。第五关SHA-256 指纹与中途变脸检测风险TOCTOU检查时使用不一致。文件在计算指纹的几秒内被外部替换你归档的就不是当时看到的那份内容或者.raw/captured/里的旧副本被人偷偷改过字节。怎么挡source_identity以 1 MB 分块计算 SHA-256读之前和读完之后各记录一次设备号 inode 大小 修改时间四元组签名并用O_NOFOLLOW打开文件防止读走链接。任何一项对不上抛SOURCE_CHANGED冲突。重复归档时_find_existing_capture遇到同摘要的旧副本会重新校验字节名字对但内容不对说明仓库被外部改写抛IMMUTABLE_SOURCE_CONFLICT。你能看到什么本次归档失败且不留半成品下次再试如果内容确实没变会命中内容寻址已存在的跳过逻辑skip_reason: content-unchanged而不是重写。第六关并发写入下的锁与回滚风险两个进程同时动同一个库或者写入进行到一半断电轻则数据错乱重则留下半截文件。怎么挡捕获队列用目录型锁CaptureQueueLock锁目录靠原子mkdir竞争失败即说明已有持有者等待超时抛QUEUE_LOCK_TIMEOUT持有者把 pid、主机名和随机 token 写进owner.json释放前回读验证 token锁被并发偷换时抛QUEUE_LOCK_OWNERSHIP_LOST。死锁恢复相当克制只有确认同机持有进程已死且锁超过默认 3600 秒超龄才动手清理动作本身还要复查锁身份未变。事务层 transaction.py 的apply_bundle用预检哈希 持久日志 原子替换 确定性回滚兜底每个写入记录预期哈希落盘走os.replace原子替换回滚前逐字节验证目标文件没被换过——被换过就抛ROLLBACK_TARGET_CHANGED宁可报错也不覆盖未知内容。所有冲突都归入CaptureConflict错误家族而不是静默失败。你能看到什么输的一方拿到明确的锁超时/所有权错误中断后重启可以安全恢复不会看到写了一半的笔记。补充外部 URL 的 SSRF 防线本地归档是主角但外部 URL 适配器同样被锁死。validate_https_url只接受 HTTPS 方案URL_SCHEME_FORBIDDEN_validate_public_host拒绝localhost、.local、.internal等本地域名以及一切非公网 IPURL_PRIVATE_HOST连0x7f.0.0.1这类全是数字标签的 IP 变体写法也在拦截范围内validate_redirect_chain只放行起点域名与显式批准的白名单主机跳转白名单之外即抛REDIRECT_HOST_FORBIDDEN。更关键的是plan_external_action只生成惰性计划——它不导入网络客户端、不跑任何进程真正的执行必须另配 runner 且经用户明确同意。关键文件速查文件一句话职责claude_obsidian/capture.py归档前置校验、预算、内容寻址复制与队列锁claude_obsidian/transaction.py写路径安全、别名审计、原子写与回滚恢复claude_obsidian/paths.py库根选择与符号链接解析后的包含性检查SECURITY.md安全边界与防御性不变量的正式声明docs/install-guide.md安装与初始化指南一句话总结路径先过词法关再过链接解析关符号链接连中间目录都不许碰文件名先查卫生再查跨平台别名批次卡在 100 个 / 64 MB / 256 MB 的硬预算内指纹用 SHA-256 加前后签名锁死内容身份最后靠目录锁的 token 验证和带预检哈希的原子回滚兜住并发——六道关卡串成一条流水线让归档入口只接收干净的文件。【免费下载链接】claude-obsidianSelf-organizing AI second brain for Obsidian Claude Code. Drop any source and Claude reads, links, and files it into one connected knowledge graph of plain Markdown you own. AI note-taking, personal knowledge management (PKM), and an open-source Notion alternative. Based on Karpathys LLM Wiki pattern.项目地址: https://gitcode.com/GitHub_Trending/cl/claude-obsidian创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考