claude-obsidian 6层恶意归档防御深度解析符号链接、路径穿越与冲突如何被拦截【免费下载链接】claude-obsidianSelf-organizing AI second brain for Obsidian Claude Code. Drop any source and Claude reads, links, and files it into one connected knowledge graph of plain Markdown you own. AI note-taking, personal knowledge management (PKM), and an open-source Notion alternative. Based on Karpathys LLM Wiki pattern.项目地址: https://gitcode.com/GitHub_Trending/cl/claude-obsidianclaude-obsidian 是一个开源的 AI 第二大脑工具把任意来源的资料归档capture进 Obsidian 知识库自动读取、链接并归档成互相连接的 Markdown 知识图谱。由于归档入口直接接收外部文件它为此设计了一套6层恶意归档防御体系从符号链接、路径穿越到并发冲突逐一拦截。本文带你逐层拆解这套机制。 为什么归档入口需要层层设防claude-obsidian 的核心理念是你拥有自己的文件知识库就是一个普通的 Markdown 目录不锁在云端。文件从inbox/收件箱进入经内容寻址复制进.raw/captured/不可变仓库再被加工成带出处的笔记。正因为它要吞下你放进来的任何文件恶意构造的文件名、越界的路径、偷偷改内容的外部文件都可能成为攻击面。安全策略在 SECURITY.md 中明确为一组防御性不变量而核心实现集中在 capture.py、transaction.py 和 paths.py。第1层路径词法校验拒绝路径穿越任何归档路径在接触磁盘之前先过一道纯词法检查拒绝绝对路径、\反斜杠、空路径与./..路径段要求路径已规范化a/../b这类写法直接拒绝要求文件名使用 NFC Unicode 归一化长度限制在 240 字节内。配置项校验见_validate_relative_directory事务层还有更严格的_normalize_vault_path。词法通过还不够——词法上合法的a/b.md里的a可能是一个指向系统其他位置的符号链接。所以第二层检查在真实文件系统上再做一次包含性校验assert_within会解析符号链接后确认最终位置仍在库内否则抛出PATH_OUTSIDE_VAULT错误。第2层全面拒绝符号链接符号链接是本地文件安全的第一大敌。claude-obsidian 对归档路径上的每一个符号链接都零容忍覆盖四个位置位置检查代码错误码收件箱/原始仓库根目录capture.py#L596-L599SOURCE_ROOT_SYMLINKinbox 内任意目录条目capture.py#L840-L843SOURCE_SYMLINK.raw内容寻址存储capture.py#L867-L871RAW_STORE_SYMLINK事务写入路径的每一段transaction.py#L273-L288SYMLINK_WRITE_PATH更狠的是_allowed_source_path会沿路径逐段检查中间目录是否被替换成了符号链接——即使源文件本身没问题只要它穿过了一个别名目录进入收件箱也会被SOURCE_OUTSIDE_INBOX拦截。第3层文件名卫生规则与跨平台别名恶意文件名常藏在细节里。_validate_filename一次性拦截控制字符、格式字符如零宽字符、换行首尾空格、以点或空格结尾的名字Windows 保留名CON、COM1、NUL等非 NFC 归一化的 Unicode 名称。还有一个新手难以察觉的坑大小写/重音别名攻击。在 Windows 这类不区分大小写的文件系统上Note.md和NOTE.MD是同一个文件攻击者可利用它混淆权限检查。_assert_no_existing_portable_alias会枚举目录兄弟项发现 NFC casefold 后冲突的别名即抛出CASEFOLD_PATH_ALIAS从根上消除歧义。第4层预算硬限防资源耗尽归档批次在进入任何 IO 之前都要通过CaptureBudget的硬性预算单批最多100 个文件单文件不超过64 MB整批不超过256 MB捕获队列文档不超过8 MB / 4096 条。这不是建议值而是失败即中止超限时抛出FILE_BUDGET_EXCEEDED、TOTAL_BUDGET_EXCEEDED等确定性错误码。超大文件、海量小文件炸弹、构造巨型的队列文档在这一层全部被挡在磁盘之外。第5层内容寻址与不可变校验归档的核心动作是把源文件复制成SHA-256 摘要.扩展名存入.raw/captured/。这个设计带来两层校验身份指纹source_identity计算 SHA-256 时会比对读取前后的 inode、大小、修改时间。如果文件在计算过程中被替换直接抛出SOURCE_CHANGED冲突——你归档的永远是你看到的那份内容。重复归档防篡改_find_existing_capture发现同摘要的旧副本时会重新校验字节内容寻址文件名字对但内容不对即说明仓库被外部改写抛出IMMUTABLE_SOURCE_CONFLICT。也就是说原始资料区是只创建、永不修改的已有副本必须与摘要完全一致否则整个操作失败。第6层锁、所有权令牌与冲突回滚最后一层应对多进程同时动同一个库的竞态。捕获队列使用目录型锁CaptureQueueLock锁目录原子创建失败说明已有持有者持有者写入pid、主机名、随机 token 的 owner.json释放前回读验证 token防止锁被并发偷换QUEUE_LOCK_OWNERSHIP_LOST死锁恢复保守处理只有确认持有进程已死且锁超龄才清理且清理动作本身还要复查锁身份未变。事务层transaction.py则用预检哈希 持久日志 原子替换 确定性回滚兜底每个写入记录预期哈希回滚时再逐字节验证目标没被换过ROLLBACK_TARGET_CHANGED中断后可以安全恢复。所有冲突都归入明确的CaptureConflict错误家族而不是静默失败。️ 彩蛋防线网络与 URL 的 SSRF 防御虽然本地归档是主角外部 URL 适配器同样被锁死validate_https_url 只接受 HTTPS拒绝私有/本地主机localhost、169.254.*、.internal等并禁止重定向到白名单之外的域名。外部动作只能生成惰性计划必须用户明确同意才执行。上手体验与效果这套防御让扔文件进 inbox这件事可以放心做。快速开始只需克隆仓库并初始化一个独立知识库仓库地址https://gitcode.com/GitHub_Trending/cl/claude-obsidian。安装细节见 docs/install-guide.md归档事务的规则另有 skills/wiki/references/operation-transactions.md 说明。归档后的知识最终会呈现为 Obsidian 里的图谱与画布形成可反复查询的第二大脑 关键文件速查文件职责claude_obsidian/capture.py归档前置校验、预算、队列与锁claude_obsidian/transaction.py路径安全、原子写与回滚恢复claude_obsidian/paths.py库根选择与路径包含性检查SECURITY.md安全边界与防御性不变量声明一句话总结符号链接逐段拒绝、路径双重包含校验、文件名卫生、预算硬限、内容寻址不可变校验、锁所有权与冲突回滚——六层纵深保证你的知识库归档入口只收干净的文件。【免费下载链接】claude-obsidianSelf-organizing AI second brain for Obsidian Claude Code. Drop any source and Claude reads, links, and files it into one connected knowledge graph of plain Markdown you own. AI note-taking, personal knowledge management (PKM), and an open-source Notion alternative. Based on Karpathys LLM Wiki pattern.项目地址: https://gitcode.com/GitHub_Trending/cl/claude-obsidian创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 claude-obsidian 6层恶意归档防御深度解析：符号链接、路径穿越与冲突如何被拦截
claude-obsidian 6层恶意归档防御深度解析符号链接、路径穿越与冲突如何被拦截【免费下载链接】claude-obsidianSelf-organizing AI second brain for Obsidian Claude Code. Drop any source and Claude reads, links, and files it into one connected knowledge graph of plain Markdown you own. AI note-taking, personal knowledge management (PKM), and an open-source Notion alternative. Based on Karpathys LLM Wiki pattern.项目地址: https://gitcode.com/GitHub_Trending/cl/claude-obsidianclaude-obsidian 是一个开源的 AI 第二大脑工具把任意来源的资料归档capture进 Obsidian 知识库自动读取、链接并归档成互相连接的 Markdown 知识图谱。由于归档入口直接接收外部文件它为此设计了一套6层恶意归档防御体系从符号链接、路径穿越到并发冲突逐一拦截。本文带你逐层拆解这套机制。 为什么归档入口需要层层设防claude-obsidian 的核心理念是你拥有自己的文件知识库就是一个普通的 Markdown 目录不锁在云端。文件从inbox/收件箱进入经内容寻址复制进.raw/captured/不可变仓库再被加工成带出处的笔记。正因为它要吞下你放进来的任何文件恶意构造的文件名、越界的路径、偷偷改内容的外部文件都可能成为攻击面。安全策略在 SECURITY.md 中明确为一组防御性不变量而核心实现集中在 capture.py、transaction.py 和 paths.py。第1层路径词法校验拒绝路径穿越任何归档路径在接触磁盘之前先过一道纯词法检查拒绝绝对路径、\反斜杠、空路径与./..路径段要求路径已规范化a/../b这类写法直接拒绝要求文件名使用 NFC Unicode 归一化长度限制在 240 字节内。配置项校验见_validate_relative_directory事务层还有更严格的_normalize_vault_path。词法通过还不够——词法上合法的a/b.md里的a可能是一个指向系统其他位置的符号链接。所以第二层检查在真实文件系统上再做一次包含性校验assert_within会解析符号链接后确认最终位置仍在库内否则抛出PATH_OUTSIDE_VAULT错误。第2层全面拒绝符号链接符号链接是本地文件安全的第一大敌。claude-obsidian 对归档路径上的每一个符号链接都零容忍覆盖四个位置位置检查代码错误码收件箱/原始仓库根目录capture.py#L596-L599SOURCE_ROOT_SYMLINKinbox 内任意目录条目capture.py#L840-L843SOURCE_SYMLINK.raw内容寻址存储capture.py#L867-L871RAW_STORE_SYMLINK事务写入路径的每一段transaction.py#L273-L288SYMLINK_WRITE_PATH更狠的是_allowed_source_path会沿路径逐段检查中间目录是否被替换成了符号链接——即使源文件本身没问题只要它穿过了一个别名目录进入收件箱也会被SOURCE_OUTSIDE_INBOX拦截。第3层文件名卫生规则与跨平台别名恶意文件名常藏在细节里。_validate_filename一次性拦截控制字符、格式字符如零宽字符、换行首尾空格、以点或空格结尾的名字Windows 保留名CON、COM1、NUL等非 NFC 归一化的 Unicode 名称。还有一个新手难以察觉的坑大小写/重音别名攻击。在 Windows 这类不区分大小写的文件系统上Note.md和NOTE.MD是同一个文件攻击者可利用它混淆权限检查。_assert_no_existing_portable_alias会枚举目录兄弟项发现 NFC casefold 后冲突的别名即抛出CASEFOLD_PATH_ALIAS从根上消除歧义。第4层预算硬限防资源耗尽归档批次在进入任何 IO 之前都要通过CaptureBudget的硬性预算单批最多100 个文件单文件不超过64 MB整批不超过256 MB捕获队列文档不超过8 MB / 4096 条。这不是建议值而是失败即中止超限时抛出FILE_BUDGET_EXCEEDED、TOTAL_BUDGET_EXCEEDED等确定性错误码。超大文件、海量小文件炸弹、构造巨型的队列文档在这一层全部被挡在磁盘之外。第5层内容寻址与不可变校验归档的核心动作是把源文件复制成SHA-256 摘要.扩展名存入.raw/captured/。这个设计带来两层校验身份指纹source_identity计算 SHA-256 时会比对读取前后的 inode、大小、修改时间。如果文件在计算过程中被替换直接抛出SOURCE_CHANGED冲突——你归档的永远是你看到的那份内容。重复归档防篡改_find_existing_capture发现同摘要的旧副本时会重新校验字节内容寻址文件名字对但内容不对即说明仓库被外部改写抛出IMMUTABLE_SOURCE_CONFLICT。也就是说原始资料区是只创建、永不修改的已有副本必须与摘要完全一致否则整个操作失败。第6层锁、所有权令牌与冲突回滚最后一层应对多进程同时动同一个库的竞态。捕获队列使用目录型锁CaptureQueueLock锁目录原子创建失败说明已有持有者持有者写入pid、主机名、随机 token 的 owner.json释放前回读验证 token防止锁被并发偷换QUEUE_LOCK_OWNERSHIP_LOST死锁恢复保守处理只有确认持有进程已死且锁超龄才清理且清理动作本身还要复查锁身份未变。事务层transaction.py则用预检哈希 持久日志 原子替换 确定性回滚兜底每个写入记录预期哈希回滚时再逐字节验证目标没被换过ROLLBACK_TARGET_CHANGED中断后可以安全恢复。所有冲突都归入明确的CaptureConflict错误家族而不是静默失败。️ 彩蛋防线网络与 URL 的 SSRF 防御虽然本地归档是主角外部 URL 适配器同样被锁死validate_https_url 只接受 HTTPS拒绝私有/本地主机localhost、169.254.*、.internal等并禁止重定向到白名单之外的域名。外部动作只能生成惰性计划必须用户明确同意才执行。上手体验与效果这套防御让扔文件进 inbox这件事可以放心做。快速开始只需克隆仓库并初始化一个独立知识库仓库地址https://gitcode.com/GitHub_Trending/cl/claude-obsidian。安装细节见 docs/install-guide.md归档事务的规则另有 skills/wiki/references/operation-transactions.md 说明。归档后的知识最终会呈现为 Obsidian 里的图谱与画布形成可反复查询的第二大脑 关键文件速查文件职责claude_obsidian/capture.py归档前置校验、预算、队列与锁claude_obsidian/transaction.py路径安全、原子写与回滚恢复claude_obsidian/paths.py库根选择与路径包含性检查SECURITY.md安全边界与防御性不变量声明一句话总结符号链接逐段拒绝、路径双重包含校验、文件名卫生、预算硬限、内容寻址不可变校验、锁所有权与冲突回滚——六层纵深保证你的知识库归档入口只收干净的文件。【免费下载链接】claude-obsidianSelf-organizing AI second brain for Obsidian Claude Code. Drop any source and Claude reads, links, and files it into one connected knowledge graph of plain Markdown you own. AI note-taking, personal knowledge management (PKM), and an open-source Notion alternative. Based on Karpathys LLM Wiki pattern.项目地址: https://gitcode.com/GitHub_Trending/cl/claude-obsidian创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考