Open WebUI

可自托管的 AI 对话界面

Open WebUI 是一个可以自己部署的 AI 对话界面。它能接本地的 Ollama，也能接任何兼容 OpenAI 接口的服务，自带多用户权限、文档检索（RAG）、网页搜索、插件、语音通话和管理后台，用 Docker 或 pip 就能装好。项目由 Timothy Jaeryang Baek 发起，由 Open WebUI Inc. 维护。截至 2026-10-25，GitHub 星标 156,658，最新正式版 v0.12.3（2026-10-16）。许可证在 BSD-3 基础上加了品牌保留条款：保留原品牌的内部使用免费，用户超过 50 人时改品牌需要书面许可或企业授权。

编辑部更新于 2026 年 10 月 25 日阅读约 10 分钟

Open WebUI 界面截图

它解决什么问题

很多团队想让员工用上 ChatGPT 那样的对话界面，但不想把数据交给外部服务，或者想同时用几家模型：本地跑的开源模型、OpenAI、Anthropic，再加上公司自己的推理服务。Open WebUI 想做的是一个自托管的前台：模型从哪里来都行，用户、权限、知识库、工具和用量统计都在一个界面里管。

项目的出身和 Ollama 关系很深。旧仓库地址 github.com/ollama-webui/ollama-webui 截至 2026-10-25 会 301 跳转到 open-webui/open-webui，说明它最早叫 Ollama WebUI，后来改了名，接入范围也扩大了。现在的 README 把它描述为可完全离线运行的自托管 AI 平台，原生支持 Ollama，也支持任何兼容 OpenAI 的 API，例子有 LM Studio、GroqCloud、Mistral、OpenRouter、vLLM。

README 列出的能力分四类。对话本身：多模型同时作答、Markdown 和 LaTeX、语音和视频通话、图像生成与编辑。知识：本地 RAG，支持 9 种向量数据库（ChromaDB、PGVector、Qdrant、Milvus、Elasticsearch、OpenSearch、Pinecone、S3Vector、Oracle 23ai），混合检索，还能接几十种网页搜索服务。扩展：Filters、Actions、Pipes、Tools、Skills 五类插件，外加 MCP 和 OpenAPI 工具服务器。管理：细粒度的角色和用户组、LDAP 和 Active Directory、OAuth 单点登录、SCIM 2.0 自动开通账号、OpenTelemetry 可观测性，以及基于 Redis 的多节点水平扩展。

仓库数据（GitHub API，2026-10-25）：创建于 2023-10-07 06:08 (UTC+8)，主要语言 Python，星标 156,658，分支 22,807，关注者 673，未关闭的 issue 和 PR 合计 196，最近一次推送是 2026-10-25 07:33 (UTC+8)。GitHub 把许可证识别为 NOASSERTION，原因是它用的是自定义许可证，不是标准的 SPDX 条目。

Open WebUI is an extensible, feature-rich, and user-friendly self-hosted AI platform designed to operate entirely offline.
Open WebUI README

核心能力

GitHub 上一共有 175 个 Release，全部是正式版，没有一个标成预发布。最早的是 v0.1.102（2024-02-23），更早的版本没有发 Release。大版本：v0.7.0（2026-01-10）、v0.8.0（02-13）、v0.9.0（04-21）、v0.10.0（06-30）、v0.11.0（07-27）、v0.12.0（10-11）。v0.12.0 发布后 6 天内又连发了 v0.12.1、v0.12.2、v0.12.3 三个小版本。

v0.12.0（2026-10-11）是这一轮的大更新。按发布说明：新增实时语音通话，基于 OpenAI Realtime 接口，默认模型是 gpt-realtime-2.1-mini、音色 Marin，一次通话最长一小时后自动结束；可以给模型配 VRM 格式的 3D 头像，文件上限 25 MiB；新增多因素认证，由 ENABLE_MFA 开关控制，附十个恢复码；分享出去的对话可以直接回复。

v0.12.3（2026-10-16）加入了端到端加密聊天：私信和私有群组频道可以开启临时加密会话，加密在浏览器里用 MLS 协议完成，单条消息上限 16 KiB，内容不存到服务器；这个功能由 ENABLE_ENCRYPTED_CHANNELS 控制，默认关闭。同一版本还减轻了 Redis 流式传输的负担，给对比视图加了选项。

README 给了 pip、uv、Docker 和 Kubernetes（kubectl、kustomize、helm）几种装法。镜像有 :main、:cuda（GPU 加速）、:ollama（内置 Ollama）几个标签，另有 :dev 标签，README 明确说它包含不稳定的新功能，后果自负。离线环境可以设 HF_HUB_OFFLINE=1，阻止它去网上下载模型。数据库可选 SQLite（可加密）或 PostgreSQL，文件可以存本地、S3、Google Cloud Storage 或 Azure Blob。

围绕主项目，官方还有几个配套仓库：Open Terminal 给智能体提供终端和文件系统，企业版的 Terminals 是它的多用户版本；oikb 从 45 种以上的来源（GitHub、Confluence、Jira、Slack、Notion 等）同步资料进知识库；桌面版支持 macOS、Windows 和 Linux。

和同类比

Open WebUI 自己在官网维护了一份「替代品」清单（2026 年 8 月更新），列了 Ollama、llama.cpp、LM Studio、Jan、AnythingLLM、LibreChat、Msty、Onyx、Dify，以及 ChatGPT、Claude、Gemini 三家商业产品。清单的建议是：想要桌面应用选 LM Studio 或 Jan，做文档问答选 AnythingLLM，多家模型聊天选 LibreChat，做 AI 工作流选 Dify。这是官方给的定位。

和同样自托管的对话前端放在一起，按 2026-10-25 的 GitHub 数据：LibreChat 星标 46,262，MIT 许可（仓库已从 danny-avila/LibreChat 迁到 LibreChat-AI/LibreChat）；AnythingLLM 星标 67,520，MIT 许可，侧重文档问答工作区；LobeHub（原 LobeChat）星标 83,471，用的是 LobeHub Community License，在 Apache 2.0 之上给衍生作品的商业使用加了条件。Open WebUI 星标 156,658。

LDAP、SCIM 2.0、用户组权限、OpenTelemetry 和多节点扩展都写在 Open WebUI 的 README 里，社区版就有，不用付费；teamazing 的评测也提到 SSO、OIDC、LDAP 不收费。许可证方面，LibreChat 和 AnythingLLM 是 MIT；Open WebUI 改品牌有用户数限制。

谁在用，适合谁

规模方面，GitHub API（2026-10-25）统计到 389 个关联了账号的贡献者。官网首页自述下载量 4.29 亿次以上、社区成员 52 万以上、星标 15.7 万以上（截至 2026-10-25）。

企业用户方面，企业版文档列了几家客户的使用情况，均为官方自述。三星半导体（Samsung Semiconductor）搭了一个自托管 AI 平台，团队反映复杂流程从几天缩到几小时。Public Storage 在 GCP 上部署，30 天内活跃使用率约 50%，一个关键业务流程耗时减少 80% 以上。安斯泰来制药（Astellas）在 Azure 上部署，3,000 多名员工建立和共享了 420 多个自定义模型，68% 的人反映效率明显提高，NPS 为 +43。德国美因茨大学（JGU Mainz）的 AI 架构师说，他们用它做校内对话平台的前端，面向 3 万多名学生和 5,000 多名员工。

团队和资金。README 写明项目由 Timothy Jaeryang Baek 创建；LICENSE 的版权方是 Open WebUI Inc.；LICENSE_HISTORY 显示早期代码的版权人是他本人（2023–2025）。teamazing 2026-08-05 的评测称，公司通过 Mozilla Builders 和 GitHub 加速器拿到约 4 万美元。

适合谁

需要给几十到几千人提供统一 AI 对话入口、又要求数据留在自己机房或云账号里的组织，比如企业 IT、高校信息中心、医院和律所的内部平台团队。手里已经有 Ollama、vLLM 或多家 API，想用一个界面统一管理的人。也适合想用插件、MCP 工具和知识库搭内部助手，又不想从零写前端的开发者。

不适合谁

只想自己一个人在电脑上和模型聊天的用户，桌面应用会更轻。没有人手维护服务器、跟进安全更新的小团队，Open WebUI 发版很频繁，安全公告也多，不升级的实例风险会累积。还有想换掉 Open WebUI 品牌、做成自己产品对外卖的公司：用户超过 50 人就要拿书面许可或买企业授权。

上手路径

Docker 安装：本机已经装了 Ollama 时，README 给的命令是 docker run -d -p 3000:8080 --add-host=host.docker.internal:host-gateway -v open-webui:/app/backend/data --name open-webui --restart always ghcr.io/open-webui/open-webui:main。跑起来后打开 http://localhost:3000，首屏会提示创建管理员账号。按 Quick Start 文档，第一个账号就是管理员，建好之后注册功能会自动关闭，想让别人加入，要在管理设置里打开新用户注册，新账号还要等管理员审批。只用 OpenAI 接口的话，把 OPENAI_API_KEY 作为环境变量传进去就行；想把 Ollama 一起装进容器，用 :ollama 镜像；有 NVIDIA 显卡，用 :cuda 镜像，并先装 NVIDIA 容器工具包。

用 pip 安装：pip install open-webui，然后运行 open-webui serve。Python 版本有三处说法。README 只说用 Python 3.11；PyPI 上 0.12.3（2026-10-16 上传）的元数据要求 3.11 及以上、低于 3.13；Quick Start 文档说生产环境用 Docker 或最新的 3.11，3.12 也能用，但极少数情况下有怪问题，3.13 暂不支持。

官方安全策略写明只有 main 分支受支持，dev 和其他分支都不在支持范围内。

定价与许可证

保留原品牌的内部使用免费，官网替代品页的 FAQ 也说社区版对用户数没有限制。企业授权只卖给注册实体，个人不行。联系销售要用工作邮箱，并报出预计用户席位数，用个人邮箱的不回复。去掉品牌、白标，以及 Terminals 这类企业版专属功能，都需要企业授权。

LICENSE 是 BSD-3 加一条第 4 款：不得改动、删除或遮盖「Open WebUI」品牌，除非满足三个条件之一：一是任意滚动 30 天内终端用户不超过 50 人，这里的用户指能直接访问的自然人；二是事先拿到版权方专门的书面许可；三是持有企业授权。LICENSE_HISTORY 按代码提交分了两段：提交 60d84a3 之前的代码适用 BSD-3（版权人 Timothy Jaeryang Baek，2023–2025）；更早的提交 a76068d（2025-01-11）之前的代码适用 MIT。官方许可证文档只说 v0.6.5 及以前的代码是 BSD-3、可以不受限制地分叉，没有提到 MIT 这一段。贡献者需要签 CLA。

官方文档和 LICENSE 原文有三处出入。一是生效边界。LICENSE_HISTORY 写明，提交 60d84a3aae9802339705826e9095e272e3c83623 之前的代码适用 BSD-3，它按提交划分边界，不按 Release 号；该提交的 committer 时间为 2025-04-19 05:49 (UTC+8)，提交说明为 chore: license "branding" clause。v0.6.5 的 GitHub Release 发布于 2025-04-14 17:13 (UTC+8)，v0.6.6 的发布于 2025-05-05 21:59 (UTC+8)。官方许可证文档写「Effective with v0.6.6 (April 19, 2025)」，并写明截至并包括 v0.6.5 提交或合并的代码保持 BSD-3。二是第二个条件：LICENSE 原文只要求事先拿到专门的书面许可，文档却写成「实质性贡献者」并且拿到书面许可，多了一个限定。三是用户数的计算方式：文档把 50 人描述为合计数（aggregate），LICENSE 说的是任意滚动 30 天内的终端用户。有争议时应以 LICENSE 原文为准。

风险与局限

截至 2026-10-25，GitHub 全局公告库里 pip 生态的 open-webui 共有 168 条公告，仓库自己的公告页有 166 条。

几条公告如下，严重等级和分数都取自 GitHub。CVE-2026-44551（GHSA-2r4p-jpmg-48f4）是 LDAP 空密码绕过认证，严重，9.1 分；结构化数据写影响 0.8.12 及以前、0.9.0 修复，但公告正文写的是「当前 main 分支（提交 6fdd19bf1），很可能所有带 LDAP 的版本」，NVD 的描述是「0.9.0 之前」。NVD 没有给出自己的评分，只记录了 GitHub（CNA）的 9.1。CVE-2026-87995（GHSA-jmc6-2wr8-h3wj）是终端端口预览 iframe 的 XSS，可导致账号被接管，高危，8.7 分，影响 0.8.11 到 0.11.0，0.11.1 修复；NVD 同样只记录 CNA 的 8.7。CVE-2026-87016（GHSA-wpmr-8h3q-fwj7）是 SQLite 下 OAuth sub 字段被当成通配符匹配，高危，8.1 分，影响 0.6.41 到 0.11.1 之前；NVD 只有 CNA 的 8.1。GHSA-vpq8-f445-hcq7 对应 CVE-2026-109286。GitHub 仓库公告的标题是「Any website can steal a signed-in user's session token via the community stats message handler」，即任意网站都能通过社区统计消息处理器窃取已登录用户的会话令牌；GitHub 评为高危，CVSS 3.1 为 8.1 分。公告写明影响 0.7.0 起、0.11.4 之前的版本，0.11.4 修复，前提是开启 ENABLE_COMMUNITY_SHARING（默认开启）。公告页本身没有挂 CVE 编号。这条公告于 2026-09-28 发布，但没有进入 GitHub 全局公告库（全局接口返回 404），所以不在全局公告库的 168 条里。NVD 于 2026-10-13 01:17 (UTC+8) 以 CVE-2026-109286 记录，CNA 是 VulnCheck，状态为 Awaiting Analysis；NVD 没有给出自己的评分，只有 VulnCheck 的 CVSS 3.1 8.1 分和 CVSS 4.0 8.6 分。GHSA-3vvh-g22g-jq6r 是频道 webhook 可被伪造，中危，4.3 分，2026-10-19 03:50 (UTC+8) 发布，影响 0.7.0 起、0.12.2 之前的版本，需要开启默认关闭的 ENABLE_CHANNELS；GitHub 公告页没有 CVE 编号，NVD 里也没有对应条目。

官方对 CVE 有自己的立场。安全策略说，公开的公告记录说明审查活跃，不代表软件脆弱；影响大的问题可能在补丁发布后最多压约两周再公开（官方自述）。安全策略页（2026-10-23 更新）又加了一条：每条公告都要等 GitHub 分配好 CVE 编号后才发布，按 GitHub 目前的速度会推迟两到五周。官方说起因是 VulnCheck 在 2026-10-12 没有事先联系他们，就给官方 9 月 27 日和 28 日发布的 19 条公告分配了 CVE，GitHub 随后把官方自己提交的 19 个申请作为重复驳回（官方自述）。Vendor Dispositions 页称近年针对它的 CVE 有相当一部分「经不起推敲」，有的甚至没通知厂商就发布了。另一页列出 9 个已被撤销的 CVE 编号，指出不少漏洞数据库撤销后仍显示为有效。这些都是官方自述。

其他风险。官方许可证文档说明，v0.6.6 以后的许可证不是 OSI 认可的开源许可证。工具、函数和 Pipelines 按设计可以执行任意代码，安全策略把涉及它们的攻击链一律算作预期行为、不算漏洞，并提醒管理员把 workspace.tools 权限视同 root：只给愿意让其直接访问服务器的人，开给不受信任的用户，就等于接受主机上任意代码执行的风险。官方说部署方式能为 SOC 2、HIPAA 等合规框架提供技术基础，但合规责任在部署方。