Obsidian
在本地 Markdown 上，把思考磨得更清楚
关于 Obsidian
Obsidian 是一款以本地 Markdown 文件为基础的笔记与知识管理应用，覆盖 Windows、macOS、Linux、iOS 和 Android。应用本身是专有软件，自 2025-02-20 起个人和工作用途都免费，不需要注册账号；收入来自 Sync 同步（每人每月 4 美元起，年付）、Publish 发布（每站每月 8 美元起，年付）和自愿购买的支持许可。截至 2026-10-25，最新公开版是 2026-10-22 在 GitHub 发布的桌面版 1.14.5，社区目录列出 9,467 个插件和 941 个主题。2026-10-09 公开的两个桌面端远程代码执行漏洞需要用户打开恶意笔记并做出操作才会触发，其中 MathJax 一项的修复状态各方说法不一。
Obsidian 界面截图
它是什么
Obsidian 是一个桌面和移动端的笔记应用。它把笔记存成普通的 Markdown 纯文字文件，放在用户自己选择的文件夹里，这个文件夹在应用里叫“库”（vault）。笔记之间可以用双链互相引用，应用会据此生成反向链接和关系图谱。因为数据就是本地文件，用户可以用别的编辑器打开、用 Git 管理，或者交给任何同步盘，不依赖 Obsidian 的服务器。
维护方是 Dynalist Inc.。服务条款以这家公司为签约主体，并约定适用安大略省法律和加拿大联邦法律；obsidian-api 等开源仓库的许可证版权人也是这家公司。关于页列出 7 名成员，联合创始人 Shida Li 任技术负责人，Erica Xu 任运营负责人，Steph Ango 自 2023-02-06 发文起担任首席执行官。
关于页上的宣言列出五条原则：数据归用户所有（Yours）、文件格式耐久（Durable）、私密（Private）、可塑（Malleable）、独立（Independent）。其中“独立”一条写的是公司完全由用户付费支撑，没有投资人。这是公司自己的表述。
产品线分三层：免费的应用本体；两项付费附加服务 Sync 与 Publish；以及开发者生态，包括公开的插件 API 类型定义、样例插件和官方插件目录。此外还有网页剪藏浏览器扩展 Web Clipper，下载页把它和各平台安装包列在一起。
我们坚持这些原则，因此 Obsidian 百分之百由用户支撑，而不是投资者。
核心能力
本地文件与开放格式。笔记用 Markdown，白板功能 Canvas 用 .canvas 文件。2024-03-11 的博文把这个格式命名为 JSON Canvas，发布了规范和 MIT 许可的配套资源，允许其他应用直接读写。按 2026 年的更新日志，1.14 版（GitHub 发布页上首个 1.14 版本 1.14.4 于 2026-10-05 发布）还支持直接打开库之外的单个 Markdown 文件。
Bases 数据库视图。Bases 把带属性的笔记做成表格等视图。1.14 版为它加入看板视图和分组选项，表格视图支持从右到左的书写方向，同一版本还加入了高亮颜色。更新日志所列的 1.15.0 测试版又支持重新排列筛选条件。
插件与主题。截至 2026-10-25 19:32 (UTC+8)，官方社区目录显示 9,467 个插件和 941 个主题，分类数量居前的是集成类 1,368 个、文件类 1,278 个、AI 类 1,129 个。2026-05-12 的博文称插件累计下载超过 1.2 亿次，均为官方自述。同一篇博文宣布新的社区目录和开发者后台：每个版本都会自动扫描安全问题、代码质量和恶意代码，每个项目页显示安全评分卡，付费插件单独标注。
Sync 同步。Sync 是官方的跨设备同步服务，默认端到端加密，算法为 AES-256，文件名也加密。它提供版本历史、选择性同步和多人共享库，还可以在服务器上以无界面方式运行。2025-08-22 做过一次加密升级。
Publish 发布。Publish 把库里选定的笔记发布成网站，支持自定义域名、关系图谱和悬停预览，产品页写明可托管最多 4 GB 内容。
自动化接口。更新日志所列的 1.15.0 测试版新增 URI 和命令行命令，可以把内容追加到指定标题下面；移动端测试版在 iOS 上加入语音速记，录音可以转写成笔记，需要 iOS 26。
适合谁 / 不适合谁
适合：要把笔记长期握在自己手里的个人用户。数据是普通文件，不注册账号也能用，隐私政策写明应用不收集个人数据和遥测，更新检查可以在设置的“关于”页关闭。
适合：愿意自己搭工作流的人。插件 API 公开，社区插件数量多，从任务管理、日记模板到 AI 助手都有现成方案；主题和 CSS 片段可以改界面。
适合：组织内部的知识库。2025-02-20 起工作用途免费，商业许可改为自愿购买。企业页列出的支持者包括多家大型科技公司和政府部门，并写有“超过一万家组织”支持 Obsidian，邀请其他组织购买商业许可加入其中，均为官方自述。
不太适合：需要多人在同一文档里实时协同编辑的团队。Sync 的共享库可以让多人同步同一个库。
不太适合：对第三方代码零容忍、又离不开插件的环境。帮助文档写明，插件继承应用的全部权限，可以读写电脑上的文件、联网、安装其他程序，官方无法按权限限制插件。官方写明社区目录的评分卡可能有误报和漏报。
不太适合：要求源代码开放、可自行审计或分叉的用户。应用本体是专有软件，公开授权的只有插件 API 类型定义等周边代码。
和同类比
和 Notion 比：Notion 是在线协作工作区，数据存在 Notion 的服务器上，定价页默认视图显示 Free 0 美元、Plus 每成员每月 10 美元、Business 每成员每月 20 美元（截至 2026-10-25）。Obsidian 本体免费且离线可用，多人协作要靠 Sync 共享库或第三方方案。发布网站这一项：Notion 给站点绑定自定义域名年付每域名每月 8 美元、月付 10 美元，Obsidian Publish 年付每站每月 8 美元、月付 10 美元。
和 Logseq 比：Logseq 同样以本地 Markdown 文件和双链为核心，区别在于它是开源软件，许可证为 AGPL-3.0。截至 2026-10-25，logseq/logseq 仓库有 45,368 个星标。
上手路径
第一步，官网下载页覆盖这些平台：iOS、Android（另提供 APK 安装包）、Windows、macOS 通用版，Linux 提供 AppImage、Snap、Deb 和 ARM64 包，Flatpak 版由社区维护。安装后新建或打开一个文件夹作为库，不需要登录。
第二步，先只用核心功能写一段时间：双链、标签、日记、模板和关系图谱都是内置的。已有的 Markdown 笔记可以直接把所在文件夹作为库打开。
第三步，插件只有在设置的“第三方插件”里关闭限制模式后才能运行。帮助文档写明，限制模式默认开启，作用就是阻止第三方代码运行，只应为可信的插件作者关闭。打开别人分享的库时，1.14 版会在“是否信任此库作者”的对话框显示期间临时禁用主题和 CSS 片段。
第四步，多设备同步时二选一：用 iCloud、Git 或其他同步盘同步库文件夹；或者订阅 Sync，获得端到端加密、版本历史和共享库。隐私政策写明，Sync 订阅到期后服务器上的数据保留一个月，用户自己取消订阅则立即删除，本地的库不受影响。
第五步，需要网页剪藏时安装 Web Clipper 浏览器扩展，它把网页内容存成库里的 Markdown 笔记。
定价与许可证
应用本体：免费，个人和工作用途都不收费，没有功能限制，也不需要账号。许可证概览页（2025-02-20 更新）写明，包括商业和政府用途在内的任何用途都可以免费使用。
Sync（价格截至 2026-10-25）：Standard 年付每人每月 4 美元、月付 5 美元，含 1 个同步库、1 GB 总空间、单文件 5 MB、1 个月版本历史；Plus 年付每人每月 8 美元、月付 10 美元，含 10 个同步库、10 GB、单文件 200 MB、12 个月版本历史，可扩容到 100 GB，2024-03-20 的博文给出的扩容价格为年付每月 16 美元。
Publish：年付每站每月 8 美元，月付 10 美元。
自愿支持：Catalyst 一次性 25 美元，换取测试版抢先体验和社区徽章；商业许可每人每年 50 美元，自 2025-02-20 起改为自愿购买。学生、教职员工和非营利机构员工购买 Sync 与 Publish 可享 40% 折扣。Sync 与 Publish 购买后 7 天内可全额退款，Catalyst、商业许可和 Obsidian Credit 不退款。
许可证：应用是专有软件，许可证概览页写明代码归公司所有。开源部分各自独立授权：插件 API 类型定义 obsidian-api 为 MIT，仓库建于 2020-10-26，许可证文件 LICENSE.md 由提交 009a10f 在 2022-10-20 06:30 (UTC+8) 首次加入，版权行写“Copyright 2022 Dynalist Inc.”。插件 API 的 package.json 同样写 MIT。
风险与局限
桌面端远程代码执行漏洞（CVE-2026-104077）。触发前提：使用 1.14.0 之前的桌面版，启用核心插件“幻灯片”，打开一条带恶意 data-background-iframe 属性的笔记，并手动开始演示。按漏洞说明，这个属性绕过了 DOMPurify 过滤，被内置的 Reveal.js 4.3.1 当成 iframe 地址加载；由于库窗口开启了 Node 集成、关闭了上下文隔离，注入脚本可以调用 Node 接口执行系统命令。评分方是作为 CVE 编号机构的 VulnCheck：CVSS 4.0 为 8.5，CVSS 3.1 为 7.8。官方 1.14 更新日志写有“修复幻灯片插件中潜在的 iframe 注入”。
MathJax 过滤绕过（CVE-2026-104078）。触发前提：笔记里有特制的数学公式，在实时预览中渲染成链接，受害者点击该链接。公式里的 URL 协议名中夹一个 TAB 字符，MathJax 的安全过滤就识别不出 javascript: 协议。评分同样由 VulnCheck 给出：CVSS 4.0 为 8.4，CVSS 3.1 为 7.8。CVE 描述写的影响范围是 1.14.0 之前；发现方 CodeAnt 的文章则写，换用 MathJax 4.1.3 的 1.14.x 上仍能复现，上游修复被排进 MathJax 4.2 里程碑。两项漏洞都在 2026-09-16 报告给厂商，CISA 的 SSVC 评估记为“尚无在野利用、不可自动化”。
更早的漏洞（CVE-2023-2110）。1.2.8 之前的桌面版，用户打开恶意 Markdown 文件，或从恶意网页复制文本粘贴进来，就可能经 app://local 路径读取本地文件并外传。编号机构 STAR Labs 评 8.2，NVD 评 7.1，均为 CVSS 3.1，1.2.8 版于 2023-05-10 在 GitHub 发布并修复此问题。
插件权限。帮助文档写明插件继承应用的全部权限，官方无法按权限限制。2026-05-12 起新版本必须通过自动审查，但此前已上架的插件即便未通过审查也暂时保留。
Sync 的已知边界。Trail of Bits 在 2025 年 12 月的审计中报告 11 个问题，其中 3 项未完全修复，官方已在 Sync 安全页说明：文件哈希采用确定性加密，服务器被攻破后在特定条件下可判断某个文件是否上传过；哪台设备在何时上传或删除文件、加密路径与加密内容的对应关系，这些元数据不是端到端加密的。
闭源。应用代码不公开，公开的安全信息来自厂商公布的审计报告和第三方研究。
来龙去脉
关于页写明 Erica Xu 在 2020 年启动 Obsidian。2023 年出任首席执行官的 Steph Ango 在博文里用 Silver 和 Licat 称呼两位联合创始人，并写两人在 2020 年首次推出 Obsidian。插件 API 的类型定义仓库建于 2020-10-26，第一条提交对应 0.9.7 版。
2022-10-13 发布 1.0.0 桌面版，全面采用标签页，界面重新设计，主题库也一并翻新。一周后，obsidian-api 仓库补上了 MIT 许可证文件。
2023-02-06，主题 Minimal 的作者 Steph Ango 发文宣布全职加入并出任首席执行官，文中重申应用免费、文件格式开放、离线优先、可通过插件定制，以及完全由用户付费支撑。
2024 年的变化集中在开放格式和价格上：3 月 11 日公布 JSON Canvas 规范，3 月 20 日推出每月 4 美元起的 Sync Standard 档，原有方案改名为 Sync Plus。安全方面，2024-01-10 公布第一份 Cure53 客户端审计，发现的 4 个漏洞已在 2023-12-26 发布的 1.5.3 中修复；第二份客户端审计于 2024 年 10 月结束，发现的 6 个漏洞主要涉及当时尚未发布的网页浏览器（Web viewer）核心插件。
2025-02-20，商业许可改为自愿购买，工作用途免费。2025-09-19 的博文介绍了减少第三方依赖的做法：依赖严格锁定版本，不运行安装后脚本，pdf.js、Mermaid、MathJax 这类大型库只偶尔升级，或在出现安全修复时升级。
2026 年：5 月 12 日上线新的社区目录与自动审查，5 月 13 日公开 Cure53 与 Trail of Bits 对 Sync 的两份审计。10 月 5 日 GitHub 发布首个 1.14 版本 1.14.4，10 月 22 日发布 1.14.5，把 Electron 从 43.7.5 升到 43.8.3 并包含多项安全修复，更新日志要求用户到官网重新下载安装包。更新日志所列的 1.15.0 测试版改用 Pele 库替换 Mermaid 画图，更新日志说明 Pele 不能运行代码，因此取消了“显示 Mermaid 图表前先询问”的设置。
我们的判断
Obsidian 的特点是：笔记是用户自选文件夹里的普通 Markdown 文件，不注册账号也能使用，隐私政策写明应用不收集个人数据和遥测；自 2025-02-20 起个人和工作用途都免费，收费项是可选的 Sync 和 Publish；插件 API 公开，截至 2026-10-25 官方社区目录列出 9,467 个插件。
它的限制：应用是专有软件，代码不公开；插件继承应用的全部权限，官方无法按权限限制；2026-10-09 公开的两个桌面端漏洞需要用户操作才会触发，其中 MathJax 一项在 1.14.x 上是否已修复，CVE 描述和发现方 CodeAnt 的说法不一致；更新日志要求桌面端升到 1.14.5 或更高版本，并从官网重新下载安装包。
亮点
Obsidian 是一个建立在一文件夹 Markdown 文件上的知识库，文件归你所有。不需要账号，同步可选；一家只有寥寥数人的公司，让它成了数千款插件组成的生态的中心。
此前做过 Dynalist 的 Shida Li 和 Erica Xu，在所有竞争对手都往云端走的时候，押注了本地文件。这个选择就是产品的护城河。
它直接使用你自己的 Markdown 文件夹，无需账号，社区插件数以千计。
资料来源
官方
- Pricing - Obsidian · 访问于 2026 年 10 月 25 日
- License Overview - Obsidian · 访问于 2026 年 10 月 25 日
- Terms of Service - Obsidian · 访问于 2026 年 10 月 25 日
- Privacy Policy - Obsidian · 访问于 2026 年 10 月 25 日
- About - Obsidian · 访问于 2026 年 10 月 25 日
- Security - Obsidian · 访问于 2026 年 10 月 25 日
- Obsidian Changelog - Obsidian · 访问于 2026 年 10 月 25 日
- Obsidian 1.14 Desktop (Public) - Obsidian · 访问于 2026 年 10 月 25 日
- Obsidian 1.0.0 Desktop (Public) - Obsidian · 访问于 2026 年 10 月 25 日
- Obsidian Community · 访问于 2026 年 10 月 25 日
- Meet the teams that trust Obsidian - Obsidian · 访问于 2026 年 10 月 25 日
- Obsidian Sync · 访问于 2026 年 10 月 25 日
- Obsidian Publish · 访问于 2026 年 10 月 25 日
- Download - Obsidian · 访问于 2026 年 10 月 25 日
- Obsidian is now free for work - Obsidian · 访问于 2026 年 10 月 25 日
- Obsidian Sync now starts at $4 per month with the new Standard plan - Obsidian · 访问于 2026 年 10 月 25 日
- I’m joining Obsidian full-time as CEO - Obsidian · 访问于 2026 年 10 月 25 日
- New security page and independent audit completed by Cure53 - Obsidian · 访问于 2026 年 10 月 25 日
- Obsidian Sync audits by Cure53 and Trail of Bits - Obsidian · 访问于 2026 年 10 月 25 日
- The future of Obsidian plugins - Obsidian · 访问于 2026 年 10 月 25 日
- Less is safer: how Obsidian reduces the risk of supply chain attacks - Obsidian · 访问于 2026 年 10 月 25 日
- Announcing JSON Canvas: an open file format for infinite canvas data - Obsidian · 访问于 2026 年 10 月 25 日
- obsidian-help/en/Extending Obsidian/Plugin security.md at 6048d2f46b0f7b896bdcddf319867f8870c04ae2 · obsidianmd/obsidian-help · 访问于 2026 年 10 月 25 日
- Add license. · obsidianmd/obsidian-api@009a10f · 访问于 2026 年 10 月 25 日
安全公告
- NVD - CVE-2026-104077 · 访问于 2026 年 10 月 25 日
- NVD - CVE-2026-104078 · 访问于 2026 年 10 月 25 日
- NVD - CVE-2023-2110 · 访问于 2026 年 10 月 25 日
媒体与第三方
- From Markdown to a Shell: Two RCEs in Obsidian Desktop · 访问于 2026 年 10 月 25 日
相关产品
- Notion Pricing Plans: Free, Plus, Business, & Enterprise. · 访问于 2026 年 10 月 25 日
- GitHub - logseq/logseq: A privacy-first, open-source platform for knowledge management and collaboration. · 访问于 2026 年 10 月 25 日
动态与深度阅读
Obsidian October 2026：社区共创月回归，首推 State of Obsidian 调查
Obsidian 一年一度的社区共创活动 Obsidian October 回归，鼓励用户在 10 月完成并分享插件、主题、仓库、指南或视频；官方今年还推出首份 State of Obsidian 调查。 自 5 月新版 Obsidian Community 上线以来，插件和主题数量翻了一番多，超过 8,000 个。由于应用不收集个人数据、插件也禁止加入遥测，官方希望借调查了解大家的使用方式，并将在年底前公开报告。
原文In May, we launched the new Obsidian Community , and since then the number of plugins and themes has more than doubled to over 8,000 projects!
Obsidian Sync 公布 Cure53 与 Trail of Bits 两份安全审计
Obsidian 公布两份针对 Obsidian Sync API、服务器和加密机制的独立审计，分别由 Cure53 和 Trail of Bits 完成，并称所有发现均已通过修复或披露处理，并经审计方确认。 Cure53 报告了 4 个低优先级和 1 个中优先级问题，促使“托管加密”更名为“标准加密”；Trail of Bits 发现 11 个问题，其中 3 个未修复，包括文件哈希采用确定性加密、文件路径与内容之间缺少加密绑定，Obsidian 已在安全页面说明这些取舍。
原文We’re pleased to report that all findings from these reports have been addressed via remediations and disclosures validated by the respective auditors.Obsidian 推出插件与主题目录 Obsidian Community，引入自动审核
Obsidian 推出全新插件与主题目录兼开发者后台 Obsidian Community，支持按类别浏览、搜索和排序，每个项目都有安全评分卡；Obsidian 称，自 2020 年开放 API 以来已有 4,000 多个插件和主题，插件总下载量超过 1.2 亿次。 新系统对每个版本都做安全和代码质量自动审核，而不只审核首次提交，人工审核也会继续；借助新系统，团队几天内处理了 2,300 多个排队中的提交。
原文The new automated review system scans every version for security and code quality, not just the initial submission .Obsidian October 2025：社区共创月回归，Bases API 进入测试
Obsidian October 社区共创活动回归，官方将在 Discord 举办答疑时段，并更新了插件、主题和仓库自查清单，帮助开发者提升性能、安全性和移动端适配。 Obsidian 同时发布 1.10 测试版，开放 Bases API，让开发者为核心插件 Bases 创建自定义视图布局，并以开源插件 Maps 为例为 Bases 加入地图视图。
原文Today, we’re releasing Obsidian 1.10 beta with Bases APIs to help you create your own custom view layouts.Obsidian 如何降低供应链攻击风险：少依赖、锁版本、慢升级
Obsidian 介绍其降低供应链攻击风险的做法，核心是尽量少用第三方代码：Bases 和 Canvas 等功能从零实现，小工具函数自行重写，中型模块在许可允许时分叉进代码库，大型库则使用锁定版本的文件。 所有依赖严格锁定版本并提交锁文件，不运行 postinstall 脚本；升级时逐行阅读更新日志、检查子依赖并测试，且升级与发版之间留出缓冲期。Obsidian 称，这些措施无法完全消除风险，但能大幅降低受影响的可能。
原文We do not run postinstall scripts.