SnapOtter自托管安全完整指南限流、CSP、匿名分析与数据合规的10项安全清单【免费下载链接】SnapOtterOpen-source, self-hosted file-processing tool. Convert, compress, OCR, transcribe run local AI across image, video, audio, PDF documents, via UI, REST API pipelines. Your files never leave your network.项目地址: https://gitcode.com/gh_mirrors/st/SnapOtter️SnapOtter是一款开源、可自托管的文件处理工具支持图片、视频、音频、PDF 与文档的转换、压缩、OCR、语音转写和本地 AI 处理文件永不离开你的网络。对自托管部署者来说数据不出内网只是底线——限流、CSP 安全头、匿名分析开关与数据合规同样关键。本文基于真实源码给出一份可直接照做的安全检查清单。一、为什么自托管不等于天然安全很多人以为把服务跑在自己服务器里就高枕无忧其实暴露面反而更大一个admin默认账号 无限制登录 暴力破解入口API 无速率限制 CPU/磁盘被打满的资源耗尽攻击浏览器侧无 CSP XSS 注入后脚本横行的风险SnapOtter 在 API 层内置了多层防御但部分策略依赖你正确配置环境变量与后台设置。下面逐项拆解。二、限流配置指南防暴力破解与 API 滥用SnapOtter 有三层限流全部基于 Redis 滑动窗口可在源码中逐一验证1. 全局 API 限流第一道闸门启动时通过fastify/rate-limit对/api/前缀的所有路由生效由环境变量RATE_LIMIT_PER_MIN控制只限制 API 而不误伤静态页面源码位置apps/api/src/index.ts服务启动日志会明确打印当前限流值如Rate limit: 100/min或disabled部署后第一件事就是看一眼这个值避免误以为没配就是安全的——实际上未配置意味着每分钟 5 万次的宽限。2. 每用户限流精细管控登录用户访问/api/时还会经过独立的每用户限流按rateLimitPerUser设置项0 不限制计数超限时返回429并附带标准的X-RateLimit-Limit / Remaining / Reset响应头方便对接方做退避重试源码位置apps/api/src/plugins/per-user-rate-limit.ts3. 登录失败限流防账号爆破密码登录失败按用户名单独计数连续失败达到阈值后直接拒绝并给出retryAfter。设计上有个细节很值得学习不存在的用户名也会计入窗口避免限流本身变成用户名枚举器源码位置apps/api/src/lib/login-throttle.ts✅ 检查项启动日志确认限流已启用管理后台为每个账号设置rateLimitPerUser为登录接口保留失败限流。三、CSP 与安全响应头一条策略挡住注入SnapOtter 在所有响应上统一注入安全头覆盖全部环境包括开发环境目的是尽早暴露注入问题响应头值作用Content-Security-Policydefault-src self的受限策略禁止加载外部脚本/资源X-Frame-OptionsDENY防点击劫持不能被 iframe 嵌套Strict-Transport-Securitymax-age31536000; includeSubDomains强制 HTTPSX-Content-Type-Optionsnosniff防 MIME 嗅探Permissions-Policy关闭摄像头/麦克风/定位收敛浏览器权限CSP 策略的构建逻辑值得细看字体与图片仅允许自托管资源selfobject-src nonebase-uri selfform-action self并在主站策略中加上frame-ancestors none。也就是说即使某天某个 XSS 漏洞被利用浏览器也会拒绝执行任何来自你域名之外的脚本——这正是数据合规场景下 CSP 的价值它保证页面行为只发生在你自己的基础设施里。源码位置apps/api/src/lib/csp.ts、apps/api/src/index.ts✅ 检查项用浏览器 DevToolsNetwork → 任意响应头确认上述 7 个头全部存在生产部署务必挂 HTTPS 反向代理。四、匿名分析数据如何做到不泄露SnapOtter 默认开启产品分析用于发现 Bug但设计目标是可审计、可一键关闭、只发白名单字段严格白名单每个事件的属性在发出前都会经过逐事件白名单过滤文件名、路径、内容、OCR 文本、EXIF、IP 地址、账号身份永远不会被发送——连自由文本字段都不在白名单里源码位置apps/api/src/lib/analytics-allowlist.ts匿名化事件只携带instance_id实例标识不做用户身份识别事件保持匿名、无主体。一条开关全停管理员在Settings System Privacy关闭后服务端、客户端、反向代理三处同时生效——代理直接返回204不再转发任何东西源码位置apps/api/src/lib/analytics-gate.ts、完整事件字典见 TELEMETRY.md构建期硬关闭构建镜像时设置SNAPOTTER_ANALYTICSoff可直接从二进制中剔除分析代码适合完全合规要求的私有部署。五、数据合规 10 项清单直接照做#检查项说明1升级到最新正式版旧版本不再接受安全补丁见 SECURITY.md2修改默认管理员密码并开启 MFA默认admin/admin只适合首次体验3设置RATE_LIMIT_PER_MIN启动日志确认非disabled4设置每用户限流rateLimitPerUser防单账号打满队列5核对安全响应头7 个头齐全CSP 为default-src self6生产环境启用 HTTPS 反代正确配置TRUST_PROXY保证限流 IP 准确7收紧CORS_ORIGIN生产默认关闭跨域确有需要才显式配置8按合规要求关闭分析管理后台一键关闭或构建期SNAPOTTER_ANALYTICSoff9API Key 最小权限 设置过期时间Key 以 scrypt 哈希存储支持作用域与过期10定期备份 查看审计日志后台审计日志记录关键操作如登录被限流事件六、快速验证步骤部署完成后三条命令级验证即可确认基础防线就位# 1. 健康检查无需认证 curl -s https://你的域名/api/v1/health # 2. 看响应头是否齐全 curl -sI https://你的域名/ | grep -iE content-security|x-frame|strict-transport # 3. 超限流测试连发请求确认返回 429 而非 500生产 Compose 栈应用 Postgres 17 Redis 8与 GPU 加速配置可直接参考仓库内的 docker/docker-compose.yml 与根目录 README.md。写在最后自托管的核心承诺是你的文件永不离开你的网络而这句话成立的前提正是限流、CSP、匿名分析与合规开关这些看不见的基础设施。SnapOtter 已经把大部分防御做进了代码默认值你要做的是打开这份清单逐项打勾。相关源码速查安全策略总览 SECURITY.md · 遥测事件字典 TELEMETRY.md · 安全头注入 apps/api/src/index.ts【免费下载链接】SnapOtterOpen-source, self-hosted file-processing tool. Convert, compress, OCR, transcribe run local AI across image, video, audio, PDF documents, via UI, REST API pipelines. Your files never leave your network.项目地址: https://gitcode.com/gh_mirrors/st/SnapOtter创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考